5 Peretasan Bursa Kripto Terbesar: Dari Bitget hingga Bybit

​Bitget menjadi bursa kripto besar terbaru yang mengalami pelanggaran keamanan bernilai ratusan juta dolar. Serangan ini menempatkannya sejajar dengan beberapa nama paling terkenal dalam industri, dari Mt. Gox hingga FTX. Peretasan bursa mana yang menyebabkan kerugian terbesar?

Bursa kripto selalu menjadi target menarik bagi peretas. Bursa-bursa ini menyimpan aset digital senilai miliaran dolar, memindahkan dana sepanjang waktu, dan mengandalkan sistem kompleks yang satu kelemahannya saja dapat menimbulkan konsekuensi besar. Selama bertahun-tahun, penyerang telah mengeksploitasi berbagai hal, mulai dari hot wallet yang perlindungannya lemah hingga karyawan yang disusupi dan software yang digunakan untuk mengotorisasi transaksi.

Pelanggaran terbesar juga menceritakan bagaimana keamanan kripto berkembang. Mt. Gox runtuh ketika industri ini masih relatif muda, sementara serangan-serangan yang lebih baru berhasil melewati perlindungan yang dirancang khusus untuk mencegah bencana lain dalam skala tersebut. Nilai yang terlibat juga meningkat seiring pertumbuhan pasar.

Jadi, peretasan mana yang terbesar? Kami membandingkannya berdasarkan estimasi nilai dolar aset saat dicuri, bukan berdasarkan nilai koin tersebut saat ini. Perbedaan ini penting untuk kasus-kasus lama yang melibatkan Bitcoin, yang harganya telah naik drastis sejak beberapa pencurian pertama.

Bitget, 2026: $351,6 juta

Bitget mendeteksi transfer tanpa otorisasi dari beberapa hot wallet-nya pada 24 September pukul 18,31 UTC dan mengaktifkan prosedur tanggap darurat. Bursa tersebut kemudian menyatakan bahwa aset senilai sekitar $351,6 juta terdampak, dengan pelanggaran terbatas pada sebagian infrastruktur hot wallet dan warm wallet-nya. Cold wallet tetap aman.

Lihat postingan di X Memuat...

Tweet tersebut telah dihapus oleh penulis.

Tapi kami menyimpan semuanya 🙂.

Penarikan dana dihentikan sementara, sementara deposit dan perdagangan tetap berlangsung. Bitget menyatakan saldo nasabah tetap utuh dan User Protection Fund miliknya, yang menyimpan lebih dari $464 juta, cukup untuk menutupi kerugian tersebut.

“Kami tidak akan lari dari masalah ini,” kata CEO Gracy Chen. “Setiap dolar dan setiap keputusan akan dipertanggungjawabkan secara transparan dan menyeluruh.”

Investigasi telah memberikan beberapa petunjuk mengenai bagaimana serangan tersebut terjadi. Chen mengatakan investigasi awal Bitget telah mengesampingkan kebocoran private key dan justru mengarah pada sistem backend kritis dalam infrastruktur wallet-nya. Menurut bursa tersebut, penyerang dapat memalsukan data transaksi dan memicu proses otorisasi Bitget, meskipun metode pasti yang digunakan untuk menembus sistem masih diselidiki.

Mt. Gox, 2014: sekitar $473 juta

Jauh sebelum Binance, Coinbase, atau Bybit menjadi nama besar di dunia kripto, Mt. Gox mendominasi perdagangan Bitcoin. Pada puncaknya, bursa yang berbasis di Tokyo ini menangani sebagian besar transaksi Bitcoin di seluruh dunia.

Dominasi tersebut berakhir secara mendadak pada Februari 2014. Mt. Gox menghentikan penarikan dana, lalu mengajukan kebangkrutan setelah menyatakan bahwa sekitar 850.000 Bitcoin milik nasabah dan perusahaan telah hilang. Koin-koin yang hilang itu bernilai sekitar $473 juta pada saat pengajuan kebangkrutan.

Kisahnya kemudian menjadi lebih rumit. Mt. Gox selanjutnya menyatakan telah menemukan 200.000 Bitcoin di wallet lama, sehingga jumlah yang masih hilang berkurang menjadi sekitar 650.000 BTC. Para kreditur kemudian menghabiskan waktu bertahun-tahun menunggu proses kebangkrutan menentukan jumlah yang dapat dipulihkan.

FTX, 2022: sekitar $477 juta

FTX mengajukan kebangkrutan Chapter 11 di Amerika Serikat pada 11 November 2022, setelah krisis likuiditas mengungkap lubang bernilai miliaran dolar dalam keuangannya. Beberapa jam kemudian, transfer mencurigakan mulai menguras kripto dari wallet yang dikendalikan FTX, menambah krisis lain pada bursa yang sudah berada di ambang keruntuhan.

Perusahaan analitik blockchain Elliptic memperkirakan sekitar $477 juta telah dicuri. Manajemen baru FTX mengonfirmasi bahwa akses tanpa otorisasi terhadap aset tertentu telah terjadi dan memindahkan aset digital yang tersisa ke cold storage.

Detail lain mengenai serangan tersebut terungkap kemudian. Pada 2024, otoritas Amerika Serikat mengonfirmasi bahwa FTX menjadi korban serangan SIM swap. Tiga orang didakwa terkait skema SIM swap yang berhubungan dengan insiden tersebut, meskipun peran mereka secara pasti dalam pencurian dan pencucian aset setelahnya masih belum jelas.

Penyerang dengan cepat menukar banyak token curian dengan Ether, sementara penerbit berhasil membekukan sekitar $100 juta aset, termasuk USDT dan Paxos Gold. Sebagian kripto yang tersisa kemudian dipindahkan melalui decentralized exchange, cross-chain bridge, dan mixer dalam upaya menyamarkan jejaknya.

Coincheck, 2018: sekitar $534 juta

Peretas mencuri 523 juta token NEM dari bursa Jepang Coincheck pada Januari 2018, senilai sekitar 58 miliar yen, atau sekitar $534 juta saat itu. Berbeda dari serangan yang lebih canggih setelahnya, pelanggaran Coincheck mengungkap kelemahan yang relatif mendasar: sejumlah besar mata uang kripto disimpan dalam hot wallet yang terhubung ke internet.

Coincheck membekukan penarikan dan sebagian besar aktivitas perdagangan setelah menemukan pencurian tersebut. Regulator Jepang memerintahkan perusahaan untuk meningkatkan keamanannya dan mengawasi bursa domestik lainnya secara lebih ketat, seiring meningkatnya pertanyaan tentang cara berbagai platform melindungi aset nasabah selama ledakan kripto.

Bursa tersebut berjanji mengganti kerugian nasabah yang terdampak menggunakan dananya sendiri. Coincheck pada akhirnya berhasil bertahan setelah pelanggaran tersebut dan diakuisisi oleh perusahaan jasa keuangan Jepang Monex Group pada akhir tahun itu.

Bybit, 2025: sekitar $1,5 miliar

Selama tujuh tahun, Coincheck tetap menjadi peretasan bursa kripto terbesar yang pernah tercatat. Kemudian, pada Februari 2025, Bybit kehilangan hampir tiga kali lipat dalam sebuah transaksi yang tampaknya rutin dari cold wallet Ethereum ke warm wallet.

Transaksi tersebut memerlukan beberapa tanda tangan melalui Safe{Wallet}, sebuah sistem yang dirancang untuk mempersulit transfer tanpa otorisasi. Namun, penyerang tidak perlu menyusupi private key Bybit secara langsung. Para penyelidik menemukan bahwa komputer milik developer Safe telah disusupi, sehingga kode berbahaya dapat mengubah apa yang dilihat para penanda tangan Bybit. Mereka seolah-olah menyetujui transaksi yang sah, padahal sebenarnya mengotorisasi perubahan yang memungkinkan penyerang mengambil alih wallet tersebut.

Sekitar $1,46 miliar dalam Ether dan token terkait berhasil dikuras. FBI kemudian mengaitkan serangan tersebut dengan Korea Utara dan menghubungkannya dengan aktivitas TraderTraitor negara tersebut.

CEO Bybit Ben Zhou mengatakan tak lama setelah serangan bahwa bursa tersebut tetap solvent dan aset nasabah sepenuhnya didukung. Bybit terus memproses penarikan dana dan mengisi kembali cadangan Ether-nya melalui pembelian, pinjaman, serta transfer dari perusahaan kripto lainnya.

Keamanan bursa telah berubah, tetapi serangannya juga demikian

Kelima peretasan tersebut berlangsung selama lebih dari satu dekade, dan kelemahan yang mendasarinya sangat berbeda. Coincheck mengungkap bahaya menyimpan kripto dalam jumlah besar di hot wallet, sementara kekacauan seputar FTX bertepatan dengan serangan SIM swap yang mengakibatkan pencurian ratusan juta dolar.

Bybit menunjukkan betapa jauh ancaman tersebut menjadi lebih canggih. Cold storage dan tanda tangan berlapis tidak lagi selalu cukup jika penyerang dapat menyusupi software dan orang-orang yang terlibat dalam menyetujui transaksi. Temuan awal Bitget mengarah pada variasi lain dari masalah tersebut: bursa itu menyatakan private key-nya tetap aman, sementara penyerang justru memanipulasi sistem backend yang terlibat dalam otorisasi transfer.

Mengamankan wallet itu sendiri hanyalah sebagian dari tantangan. Setiap sistem, interface, dan orang yang terlibat dalam pemindahan aset dapat menjadi target lain.