Terungkap! Begini Modus Peretas Kuras Hot Wallet Binance hingga Rp 100 Triliun Lebih

JAKARTA, investortrust.id - Peretasan terhadap Binance yang menyebabkan kehilangan aset kripto senilai US$ 6,3 miliar alias Rp 114 triliun ternyata dilakukan melalui skema yang terencana, dengan memanfaatkan celah mekanisme penandatanganan transaksi.

Melansir Blockaid, Minggu (1/11/2026), pelaku berhasil mengambil alih kendali salah satu hot wallet terbesar Binance, yaitu Binance 14, sebelum memperluas serangan ke 10 hot wallet lainnya di sejumlah jaringan blockchain.

Aksi tersebut diawali dengan persiapan sejak 28 Oktober 2026. Pelaku mendanai alamat operasional melalui Tornado Cash, menguji mekanisme serangan menggunakan tiga dompet miliknya, serta menyiapkan kontrak khusus untuk menguras seluruh aset dari dompet sasaran.

Puncak serangan terjadi pada 29 Oktober 2026 pukul 20.20 UTC. Pelaku mengirimkan 50 otorisasi menggunakan mekanisme Ethereum Improvement Proposal (EIP)-7702 dengan kunci Binance 14. Dari 50 otorisasi tersebut, satu berhasil sesuai dengan nonce aktif dan mengarahkan dompet ke kontrak yang dikendalikan pelaku.

Baca Juga

Insiden Binance Picu Tekanan Pasar Kripto, Harga Bitcoin Terkoreksi 7,25% pada Oktober

Hanya sekitar tiga menit kemudian, pelaku menjalankan kontrak tersebut dan menguras 167,464 ETH, 1,615 USDT, serta sekitar 60 token lainnya. Total aset yang dipindahkan dalam satu transaksi mencapai US$ 2,5 miliar.

Serangan kemudian meluas. Hanya 24 detik setelah pengurasan pertama, Binance 16 ikut mengirimkan aset ke alamat penampungan yang sama. Dalam waktu sekitar 12 menit, 10 hot wallet Binance lainnya di jaringan Optimism, Arbitrum, dan Avalanche juga mengalihkan asetnya.

Pelaku bahkan memanfaatkan akses yang masih aktif pada Binance 14 untuk menguras tambahan US$ 823 juta USDC dari akun pintar Binance. Pada pukul 21.44 UTC, pelaku kembali mengambil sekitar US$ 200 juta USDT dan sejumlah token lain yang baru masuk ke dompet tersebut.

Setelah mengumpulkan aset, pelaku mulai memecah dan memindahkan dana melalui sejumlah protokol, termasuk Uniswap, UniswapX, LI.FI dan Aave.

Tapi, sebagian dana berhasil dihentikan. Tether dan Circle membekukan sekitar US$ 1,8 miliar pada alamat penampungan utama dalam waktu 40 menit setelah serangan. Bersama tindakan pembekuan tambahan dari pihak lain, total aset yang berhasil dibekukan berdasarkan estimasi Binance mencapai US$ 3 miliar.

Binance memperkirakan total dampak peretasan mencapai US$ 6,3 miliar dan menyatakan akan menanggung seluruh kerugian.

Baca Juga

FBI dan Dinas Rahasia AS Turun Tangan Selidiki Peretasan Binance

Blockaid mengungkapkan, sistem keamanannya mendeteksi pengurasan pertama kurang dari dua menit setelah transaksi terjadi. Perusahaan tersebut menilai insiden ini menjadi peringatan bagi bursa kripto dan institusi pengelola aset digital mengenai risiko penyalahgunaan infrastruktur penandatanganan transaksi.

Pasalnya, mekanisme EIP-7702 memungkinkan satu otorisasi tak sah memberikan kendal berkelanjutan atas sebuah dompet. Bahkan setelah saldo awal dikuras, aset baru yang masuk ke alamat tersebut masih berpotensi dicuri selama delegasi belum dicabut.