Kronologi Peretasan Binance US$6,3 Miliar: Berawal dari Wawancara Kerja Palsu

Telset.id – Peretasan Binance senilai US$6,3 miliar yang disebut sebagai pencurian kripto terbesar dalam sejarah terungkap berawal dari wawancara kerja palsu. Binance menyatakan insiden ini bukan satu pelanggaran tunggal atau insiden phishing sederhana, melainkan akumulasi kerja selama berbulan-bulan yang memungkinkan peretas menembus sistem internal dan mengambil kendali dompet digital perusahaan.

Dalam pembaruan keamanan yang diunggah melalui akun X resmi Binance, perusahaan mengakui bahwa serangan ini “seharusnya tidak terjadi” dan menyampaikan permintaan maaf atas kekhawatiran, gangguan, serta ketidakpastian yang ditimbulkan bagi pengguna, mitra, dan industri secara luas. Binance juga menyatakan telah menyiapkan dana untuk menutup kerugian serta “membangun ulang atau mengganti” sistem internal yang terdampak. Serangan ini memaksa bursa kripto terbesar di dunia tersebut menangguhkan penarikan pelanggan di seluruh jaringan.

FBI dan penyelidik blockchain menuding Korea Utara sebagai dalang di balik peretasan ini. Negara tersebut telah lama dituduh melakukan pencurian mata uang kripto besar-besaran dalam beberapa tahun terakhir untuk membiayai program senjata nuklirnya yang terkena sanksi internasional. FBI menghubungkan serangan ini dengan TraderTraitor, unit siber Korea Utara yang sebelumnya mencuri lebih dari US$1,5 miliar dalam peretasan terpisah pada tahun lalu.

Kronologi Serangan: Dari Unduhan Aplikasi hingga Malware 0-Day

Menurut Binance, jejak aktivitas yang terkait peretasan ini dapat dilacak pertama kali pada Juni tahun ini. Saat itu, seorang engineer yang disebut sebagai Engineer A mengunduh “instalasi Homebrew yang telah dimodifikasi” yang ia temukan saat mencari di internet. Binance mengklaim tim keamanannya mendeteksi instalasi malware pertama pada Juni tersebut dan mengganti perangkat pekerja itu, tetapi informasi tentang karyawan tersebut kemudian “terekspos kepada peretas”.

Memasuki awal September, seorang software engineer lain yang diidentifikasi sebagai Engineer B dihubungi melalui “platform pencarian kerja yang sah”. Engineer B kemudian mengikuti wawancara video di mana perekrut palsu tersebut membagikan akun media sosial dan foto pribadi yang tampak asli untuk membangun kepercayaan. Engineer tersebut lalu melanjutkan ke wawancara putaran kedua yang dilakukan melalui obrolan online. Menjelang akhir wawancara, Engineer B diinstruksikan mengunduh sebuah “tugas” berisi repositori kode berbahaya ke komputer kerjanya.

Binance menjelaskan malware tersebut menggunakan teknik obfuscation dan evasion yang canggih, termasuk mengganti komponen alat pengembangan yang sah dengan versi berbahaya untuk menjalankan perintah dan membangun komunikasi dengan server eksternal yang dikendalikan penyerang. Malware 0-day itu tidak terdeteksi oleh alat perlindungan keamanan endpoint pada saat itu. Penyerang juga mengambil langkah untuk menyembunyikan aktivitas berbahaya dan menghapus jejak kompromi, sehingga menyulitkan deteksi dan investigasi lanjutan.

Menjelang akhir Oktober, sekitar lebih dari sepekan sebelum peretasan, penyerang menggunakan akses ke mesin engineer tersebut untuk “mengambil kendali” atas dompet Engineer A yang telah dikompromikan berbulan-bulan sebelumnya, serta dompet “Wallet Software Engineer C” lainnya. Pada 29 Oktober, penyerang masuk ke komputer Software Engineer C menggunakan kredensial curian sebelum melancarkan serangan. Menurut Binance, penyerang mengeksploitasi akses tidak sah ke layanan penandatanganan dompet internal untuk memulai transaksi di luar proses penarikan normal.

Mengapa Transaksi Tidak Bisa Dihentikan

Binance juga menjelaskan alasan pihaknya tidak mampu menghentikan transaksi yang terjadi hampir dua jam setelah transfer tidak sah pertama. Perusahaan menyebut bahwa karena hot wallet menggunakan Multi-Party Computation (MPC), tidak ada satu private key tunggal yang bisa digunakan untuk segera mencabut otorisasi EIP-7702 yang berbahaya.

Rafe Pilling, senior director threat intelligence di perusahaan keamanan Sophos, menilai pendekatan ini sesuai dengan pola TraderTraitor. Menurutnya, penyerang tidak sekadar mencuri kunci dompet. “Mereka mengompromikan engineer, menggunakan akses itu untuk memahami dan bergerak melalui lingkungan, dan akhirnya menumbangkan sistem yang digunakan untuk mengotorisasi transaksi,” kata Pilling. Ia menambahkan bahwa kompromi awal hanyalah pijakan, sementara serangan sesungguhnya dirancang dengan cermat di sekitar bagaimana korban benar-benar memindahkan uang.

Binance sendiri tidak secara langsung menuduh TraderTraitor, namun merujuk pada atribusi FBI ke Korea Utara dan mengakui pernah menjadi target sebelumnya oleh penjahat siber DPRK. Sepanjang 2026, tim keamanan Binance mendeteksi dan mencegah 57 kasus ancaman siber yang diduga terkait Korea Utara.

Dana yang dicuri pun bergerak cepat. Segera setelah dana mulai dipindahkan dari hot wallet Binance ke lebih dari 10 blockchain berbeda, beberapa firma pelacak kripto mengaitkan serangan tersebut dengan peretas DPRK. Meski lebih dari US$6 miliar dicuri dari akun Binance, hampir setengahnya—di mana memungkinkan—telah dibekukan oleh bagian industri kripto, sehingga peretas tidak dapat mengakses dana tersebut. CEO Binance Richard Teng menegaskan tidak ada pengguna yang menanggung kerugian, dengan sekitar US$2,85 miliar aset curian dibekukan atau dicegat. “Saat ini, 98% token terdampak telah diisi kembali; kami menyelesaikan 2% sisanya. Penarikan telah kembali normal secara luas,” tulis Teng.

Sisanya tetap dikuasai peretas Korea Utara, yang berupaya mencuci uang curian ke bentuk yang dapat diakses dan diuangkan, proses yang bisa memakan waktu berbulan-bulan. Perusahaan pelacak kripto Elliptic menyebut proses pencucian dari serangan Binance “sangat kompleks” dan kemungkinan otomatis. Dalam tiga setengah hari pertama, menurut cofounder dan chief scientist Elliptic Tom Robinson, pencucian menggunakan sekitar 12.000 dompet di 11 blockchain, sekitar satu dompet baru setiap 25 detik, dan lebih dari 40.000 transaksi.

Sejak awal 2017, menurut analisis TRM Labs, peretas terkait Korea Utara telah mencuri sekitar US$12 miliar dalam mata uang kripto, dengan lebih dari separuhnya berasal dari peretasan tahun ini. Meski jumlahnya astronomis, belum jelas berapa banyak uang yang kembali ke Korea Utara. Sebagian mata uang kripto dapat dibekukan dan dibuat tidak dapat diakses, sementara transaksi lain dapat diblokir oleh sejumlah bursa kripto. Bila berhasil dicuci, ada kemungkinan uang tersebut diubah menjadi tunai dan digunakan untuk memperkuat pengembangan program senjata nuklir dan sistem rudal balistik Korea Utara, menurut laporan Multilateral Sanctions Monitoring Team yang mencakup pakar dari Amerika Serikat, Korea Selatan, dan sembilan negara lain.