Kembali

2026/11/02

Pencurian Kripto Terbesar Bermula Bukan di Blockchain, melainkan di Satu Laptop: Pelajaran dari Binance

Pencurian di Binance berawal dari laptop DevOps yang disusupi, bukan kriptografi yang jebol. Fakta yang pasti, yang belum, dan lima pemeriksaan untuk sistem Anda.

Pada 29 Oktober 2026, para penyerang menguras hot wallet Binance di setidaknya sepuluh blockchain hanya dalam beberapa jam. Binance memperkirakan dampaknya sekitar US$6,3 miliar, sehingga hampir pasti ini adalah pencurian terbesar dalam sejarah kripto. Yang gagal bukanlah kriptografinya. Menurut temuan awal Binance, serangan ini berawal dari satu laptop milik seorang engineer DevOps yang telah disusupi.

Karena itu, insiden ini relevan jauh di luar bursa kripto. Setiap organisasi memiliki orang, perangkat, dan sistem yang dapat menyetujui tindakan sensitif: deployment ke produksi, pembayaran, penandatanganan, akses cloud dengan hak istimewa. Artikel ini memisahkan apa yang sudah dikonfirmasi dari apa yang masih bersifat awal, menjelaskan mengapa endpoint dengan hak istimewa yang disusupi bisa lebih berbahaya daripada kunci yang dicuri, dan mencantumkan lima pemeriksaan yang dapat Anda jalankan di lingkungan Anda sendiri.

Poin-poin utama

  • Investigasi awal Binance menunjukkan bahwa laptop seorang engineer DevOps yang disusupi menjadi titik masuk, dan Binance menyatakan belum menemukan bukti kebocoran private key wallet. Kedua temuan ini masih bersifat awal.
  • Penyerang yang menguasai sistem yang meminta dan menyetujui tanda tangan tidak perlu mencuri kuncinya.
  • FBI dan sejumlah firma analitik blockchain mengaitkan pencurian ini dengan kelompok Korea Utara TraderTraitor; Binance sendiri belum menyebut nama pelaku.
  • Pertahanan yang paling penting adalah yang melindungi orang, endpoint, dan jalur persetujuan di sekitar kunci, bukan hanya kuncinya.
  • Pola yang sama berlaku untuk konsol cloud, SSH, pipeline CI/CD, dan agen AI yang dapat bertindak di lingkungan produksi.

Apa yang terjadi, dan apa yang masih bersifat awal

Firma analitik blockchain TRM Labs melaporkan bahwa dana mulai keluar dari wallet Binance sekitar pukul 20.05 UTC pada 29 Oktober, dengan sebagian besar nilainya dipindahkan dalam kurun sekitar 20 menit. Dalam pernyataan awalnya, sebagaimana dilaporkan BleepingComputer, Binance menyebut insiden ini mungkin melibatkan laptop seorang engineer DevOps yang disusupi, yang melaluinya penyerang menjangkau sebuah service container dan mengajukan transaksi penarikan tanpa otorisasi. Binance menangguhkan penarikan, mencabut otorisasi yang terdampak, dan mulai bekerja sama dengan aparat penegak hukum.

Sejak itu Binance menyatakan bahwa investigasinya “telah mengungkap titik-titik pembobolan tambahan”. Co-CEO Richard Teng mengatakan serangan ini bukan hasil dari hak akses satu engineer saja dan, sebagaimana dikutip Elliptic, bahwa serangan itu “tidak melewati kontrol persetujuan normal kami”. Binance telah berjanji merilis post-mortem terperinci, yang belum dipublikasikan saat artikel ini ditulis (2 November).

AspekStatus saat artikel ini ditulis
Jumlah terdampakSekitar US$6,3 miliar menurut perkiraan Binance; firma analitik melaporkan US$6,36 hingga US$6,43 miliar, tergantung metode dan acuan harga.
Titik masukAwal: laptop seorang engineer DevOps yang disusupi. Sejak itu Binance melaporkan titik-titik pembobolan tambahan.
Kebocoran private keyBinance menyatakan belum menemukan bukti kebocoran private key wallet. Investigasi masih berlangsung.
PelakuPada 31 Oktober, FBI mengaitkan pencurian ini dengan TraderTraitor dari Korea Utara, sejalan dengan TRM Labs, Chainalysis, dan Elliptic. Binance belum menyebut nama pelaku.
Dana yang dibekukanBelum final. Binance menyebut sekitar US$3 miliar telah dilumpuhkan; per 1 November, Elliptic telah memverifikasi sekitar US$2,85 miliar yang dibekukan atau disita on-chain, sebagian besar berupa stablecoin.
Dampak bagi nasabahBinance menyatakan akan menanggung kerugian dan bahwa dana pengguna aman. Penarikan mulai dibuka kembali secara bertahap pada 1 November.

Dibekukan tidak sama dengan dipulihkan. Penerbit stablecoin seperti Tether dan Circle dapat membekukan token yang mereka terbitkan, tetapi bitcoin, XRP, dan aset native lainnya tidak dapat dibekukan dengan cara itu, dan sebagian besar nilai yang dicuri masih dalam proses pencucian.

Mengapa endpoint dengan hak istimewa yang disusupi bisa lebih berbahaya daripada kunci yang dicuri

Private key yang dicuri adalah masalah serius, tetapi masalahnya tunggal dan sudah dipahami dengan baik: rotasi kuncinya, dan salinan yang dicuri kehilangan sebagian besar nilainya. Penyerang yang menguasai perangkat seorang engineer dengan hak istimewa berada di posisi yang berbeda. Mereka dapat memakai sistem yang secara sah meminta tanda tangan, memanggil layanan internal dengan kredensial yang valid, dan mengirim transaksi yang tampak seperti operasi normal.

Bukti on-chain sesuai dengan gambaran ini. TRM Labs menilai bahwa pola di banyak chain “mengarah pada disusupinya infrastruktur penandatanganan hot wallet Binance”, artinya penyerang dapat membuat sistem Binance sendiri menandatangani transaksi pilihan penyerang. Di Ethereum, firma keamanan Blockaid menemukan bahwa satu hot wallet menandatangani sekumpulan otorisasi EIP-7702 yang menyerahkan kendali wallet tersebut ke kontrak milik penyerang. Bagaimana tanda tangan itu diperoleh masih belum dikonfirmasi, dan kami akan membahas mekanisme tersebut dalam artikel lanjutan terpisah.

Ini bukan hal baru. Dalam pencurian Bybit pada Februari 2025, yang juga dikaitkan FBI dengan TraderTraitor, penyerang menyusupi mesin seorang developer di sebuah penyedia wallet dan memanipulasi transaksi yang disetujui para penanda tangan Bybit. Dalam kedua kasus, kunci-kunci itu melakukan persis apa yang diminta. Pertanyaannya adalah siapa yang meminta.

Lima pemeriksaan defensif

1. Pisahkan perangkat dengan hak istimewa dari pekerjaan sehari-hari

Perangkat yang digunakan untuk menyetujui perubahan produksi, menandatangani transaksi, atau mengelola infrastruktur tidak boleh sama dengan perangkat untuk email, chat, browsing, dan menginstal developer tools. Gunakan workstation admin khusus yang telah di-hardening atau desktop virtual yang terisolasi, tanpa akun pribadi dan dengan daftar software yang disetujui secara terbatas. TraderTraitor berulang kali memakai tawaran kerja palsu dan tes coding berbahaya untuk masuk ke mesin para developer; perangkat terpisah menjauhkan penyusupan semacam itu dari jalur persetujuan.

2. Wajibkan lebih dari satu orang, dan tambahkan jeda waktu

Tidak boleh ada satu orang, perangkat, atau service account yang dapat memindahkan nilai besar atau mengubah produksi sendirian. Wajibkan persetujuan dari orang-orang di perangkat terpisah, tetapkan batas nilai per transaksi dan per rentang waktu, dan tambahkan penundaan (timelock) untuk operasi yang besar atau tidak biasa. Penundaan beberapa menit saja sudah memberi kesempatan bagi sistem monitoring dan manusia untuk bereaksi.

Tips: Pastikan pemberi persetujuan melihat apa yang sebenarnya mereka setujui. Dalam kasus Bybit, para penanda tangan menyetujui transaksi yang isi sebenarnya telah dimanipulasi. Layar persetujuan harus menampilkan tindakan, tujuan, dan jumlah yang persis, yang dihasilkan secara independen dari sistem yang mengajukan permintaan.

3. Perkuat endpoint dan pantau terus

Jalankan EDR di setiap perangkat dengan hak istimewa dan pastikan ada yang meninjau alertnya sepanjang waktu (24/7). Selalu terapkan patch, blokir software yang tidak ditandatangani atau tidak disetujui, gunakan MFA yang tahan phishing seperti security key perangkat keras, dan batasi berapa lama sesi admin dan token tetap berlaku. Perlakukan developer tooling, termasuk package, ekstensi IDE, dan asisten coding AI, sebagai bagian dari permukaan serangan.

4. Deteksi anomali dan siapkan kemampuan membekukan dengan cepat

Dana Binance berpindah dalam hitungan menit. Tentukan seperti apa kondisi normal untuk operasi Anda yang paling sensitif, misalnya volume, tujuan, jam operasional, dan laju penandatanganan, lalu kirim alert atas penyimpangan secara real time. Siapkan tombol berhenti darurat yang dapat menghentikan sementara penarikan, deployment, atau penandatanganan dalam hitungan detik, tentukan sejak awal siapa yang boleh memicunya, dan latih penggunaannya.

5. Audit siapa dan apa yang dapat memicu penandatanganan dan akses produksi

Buat daftar setiap orang, service account, container, pipeline, dan API key yang dapat meminta tanda tangan, menyetujui pembayaran, atau mengubah produksi. Untuk masing-masing, periksa apakah akses itu masih diperlukan, apakah cakupannya sudah sesempit mungkin, dan apakah penggunaannya dicatat di tempat yang tidak dapat dihapus oleh penyerang. Hapus hak istimewa permanen jika memungkinkan dan gunakan akses just-in-time sebagai gantinya.

Pelajaran untuk cloud, SSH, CI/CD, dan operasi AI di perusahaan

Sebagian besar organisasi tidak mengoperasikan hot wallet kripto, tetapi semuanya memiliki sesuatu yang setara: kredensial dan sistem yang dapat bertindak dengan otoritas.

  • Cloud: laptop administrator dengan sesi konsol aktif atau kredensial CLI yang tersimpan di cache sama berharganya dengan akun root. Gunakan kredensial berumur pendek, sesi yang terikat pada perangkat, dan alur kerja persetujuan untuk tindakan yang destruktif atau berdampak besar.
  • SSH: key berumur panjang yang tersimpan di mesin para engineer memberi penyerang akses langsung ke server. Utamakan sertifikat SSH berumur pendek yang diterbitkan per sesi, dan catat setiap sesi dengan hak istimewa secara terpusat.
  • CI/CD: pipeline sering menyimpan kredensial deployment dan penandatanganan. Lindungi definisi pipeline dengan kewajiban review, pisahkan kredensial build dan release, dan wajibkan persetujuan untuk rilis ke produksi.
  • Operasi berbasis AI: agen AI yang dapat menjalankan perintah, membuka pull request, atau memanggil API produksi adalah identitas baru dengan hak istimewa. Berikan kredensial tersendiri dengan cakupan sempit, pertahankan langkah persetujuan manusia untuk tindakan sensitif, dan catat apa yang mereka lakukan.

Tips: Adakan tabletop exercise dengan satu pertanyaan: “Jika laptop engineer ini disusupi sepenuhnya malam ini, apa yang dapat dilakukan penyerang sebelum ada yang menyadarinya?” Jawabannya menunjukkan di mana jalur persetujuan Anda bergantung pada satu perangkat.

Apa yang perlu dicermati selanjutnya

Post-mortem Binance diharapkan mengonfirmasi atau merevisi teori laptop tersebut, menjelaskan bagaimana tanda tangan diperoleh, dan menunjukkan kontrol mana yang berhasil dilewati. Hingga saat itu, anggaplah akar masalahnya masih bersifat awal. Pelajaran defensif di atas tidak bergantung pada detail akhirnya: apa pun jalur pastinya, penyerang berhasil menjangkau sistem yang dapat mengotorisasi tindakan sensitif.

Bagaimana LOGIQ dapat membantu

LOGIQ membantu organisasi meninjau akses dengan hak istimewa di seluruh server Linux, lingkungan cloud, dan pipeline CI/CD, serta merancang kontrol persetujuan dan monitoring yang sesuai dengan cara kerja tim mereka yang sebenarnya. Jika Anda ingin pandangan kedua tentang siapa dan apa yang dapat bertindak dengan otoritas di lingkungan Anda, hubungi kami.

Sumber