Setelah berhasil masuk, gerombolan hacker menargetkan sebuah “hot wallet” yang dikenal sebagai Binance 14, yang digunakan bursa tersebut untuk memproses penarikan dana pelanggan, sebagaimana terlihat dari catatan di platform analitik Etherscan.
Dompet ini mirip dengan mesin kasir online, dan karena Binance merupakan bursa kripto terbesar di dunia, bursa ini secara rutin menyimpan sejumlah besar Ether, stablecoin, dan puluhan token digital lainnya.
Jalan Pintas
Memindahkan begitu banyak aset yang berbeda biasanya memerlukan serangkaian transfer terpisah, yang masing-masing memakan waktu dan menciptakan peluang lain bagi sistem keamanan untuk mendeteksi hal yang tidak biasa.
Namun, pembaruan software Ethereum yang dikenal sebagai EIP-7702 menawarkan jalan pintas.
Sebelum diterapkan pada Mei 2025, dompet kripto paling dasar lebih mirip dengan rekening giro, di mana pemilik umumnya harus menyetujui setiap transaksi. Pembaruan tersebut menambahkan fitur yang lebih mirip dengan fungsi pembayaran otomatis, sehingga dompet dapat memberikan wewenang kepada perangkat lunak untuk bertindak atas namanya dan menggabungkan beberapa tindakan menjadi satu.
Sekitar pukul 20.20 UTC pada 29 Oktober, para peretas mengirimkan instruksi menggunakan tanda tangan yang sah dari dompet Binance 14, memerintahkan jaringan Ethereum untuk mengizinkan kode yang dikendalikan penyerang bertindak atas nama akun tersebut, menurut Blockaid. Pada titik inilah mereka membayar biaya pemrosesan jaringan rutin untuk memberlakukan wewenang tersebut.
Transaksi tersebut tidak memindahkan uang apa pun; transaksi tersebut hanya memerintahkan Ethereum untuk mengizinkan software yang dioperasikan hacker bertindak atas nama dompet tersebut.
“Program ini hanya melakukan satu hal: ketika pemiliknya meminta, program ini akan mengosongkan dompet ke alamat yang dipilih oleh pemiliknya,” kata perusahaan riset blockchain Tibane Labs dalam sebuah laporan.
Tiga setengah menit kemudian, hacker memicu jebakan tersebut. Beroperasi di bawah izin baru tersebut, perangkat lunak penyerang memindahkan US$2,5 miliar dalam satu transaksi, menurut Blockaid. Hasil curian tersebut mencakup 167.464 Ether dan lebih dari 60 token lainnya, yang dipimpin oleh US$1,6 miliar dalam bentuk stablecoin USDT dari Tether.
Jalan Keluar Cepat
“Dalam serangan, pihak yang bertahan ingin memperlambat penyerang,” kata Dan Caspi, salah satu pendiri dan kepala teknologi di Hypernative. “EIP-7702 membantu para peretas bergerak lebih cepat dan mempertahankan kendali atas dompet tersebut bahkan setelah Binance mendeteksi pelanggaran tersebut.”
Karena izin tersebut berada di Ethereum, tindakan Binance untuk menonaktifkan penarikan atau menutup layanan hot wallet-nya tidak secara otomatis membatalkan izin tersebut, menurut laporan insiden bursa tersebut.
Karena setoran tidak terpengaruh dan terus mengalir ke Binance 14, para peretas masih dapat melakukan transfer. Mereka akhirnya menggunakan izin yang sama untuk mengambil sekitar US$3,6 miliar, termasuk hasil rampasan awal sebesar US$2,5 miliar, dengan US$823 juta ditarik dari akun Binance lainnya dan empat kali penyapuan berikutnya dari Binance 14, menurut laporan dari perusahaan intelijen blockchain Elliptic.
Juru bicara Binance menegaskan bahwa EIP-7702 “memainkan peran penting” dalam serangan peretasan tersebut dan mengatakan bahwa bursa tersebut telah mengambil langkah-langkah untuk mengatasi risiko yang ditimbulkannya.
“Kami telah mencabut delegasi yang terpengaruh, membangun kembali infrastruktur dompet yang terpengaruh, serta memperbarui kontrol penandatanganan dan pemantauan kami untuk mengatasi risiko otorisasi jenis ini,” kata mereka. “Hal ini mencakup kebijakan yang lebih ketat terkait transaksi jenis delegasi, pemantauan perilaku yang ditingkatkan, kontrol tambahan pada tingkat transaksi, serta prosedur pencabutan darurat.”
Binance juga memperketat penegakan kontrol akses agar jalur akses yang digunakan tidak dapat diulangi, kata juru bicara tersebut, sambil menambahkan, “dana pengguna tetap terlindungi, dan Binance telah menanggung dampak finansial dari insiden ini.”
Insiden ini menunjukkan bagaimana alat yang dimaksudkan untuk mempermudah pengelolaan akun kripto justru dapat membuat pelanggaran menjadi jauh lebih merusak begitu penyerang berhasil masuk.
FBI telah mengaitkan serangan tersebut—yang merupakan pencurian kripto terbesar dalam sejarah—dengan Korea Utara. Pyongyang membantah keterlibatannya.
(bbn)
