Binance $6,3 Miliar Dicuri via Delegasi EIP-7702 – 30 Oktober 2026

Pendahuluan: $6,3 miliar — Pencurian Terbesar dalam Sejarah Bursa Kripto, dengan Vektor Serangan yang Belum Pernah Ada Sebelumnya

Pada 29 Oktober 2026 pukul 20:20–23:36 UTC, dompet panas global Binance dikosongkan secara sistematis. Aset senilai sekitar $6,28–6,3 miliar AS dari 8 rantai berhasil dialihkan—ini merupakan pencurian tunggal terbesar dalam sejarah bursa kripto (rekor sebelumnya adalah 7.000 BTC milik Binance sendiri pada 2019, senilai sekitar $41 juta AS, atau meningkat 153 kali lipat). Yang lebih mencengangkan adalah metode serangannya: pelaku tidak memecahkan satu pun kunci privat secara matematis, melainkan memanfaatkan laptop seorang insinyur DevOps yang telah diretas untuk mendapatkan akses ke layanan tanda tangan. Selanjutnya, pelaku menggunakan mekanisme otorisasi delegasi EIP-7702 agar dompet panas Ethereum terbesar Binance, yaitu “Binance 14”, menandatangani 50 transaksi tipe-4 yang secara permanen menyerahkan hak eksekusi kode dompet tersebut kepada kontrak “sweep” yang dikerahkan oleh pelaku. Seluruh serangan—mulai dari pemberian otorisasi tanda tangan hingga pengalihan $250 juta AS dalam bentuk ETH dan USDT dalam satu transaksi sweep—hanya memakan waktu 3 menit 24 detik. Sistem deteksi AI Blockaid memberikan peringatan dalam waktu kurang dari 2 menit setelah transaksi sweep berlangsung, mengonfirmasi dalam 11 menit bahwa izin tanda tangan telah dibajak dan mekanisme delegasi EIP-7702 digunakan, serta dalam waktu 1 jam berhasil menandai semua alamat pelaku. Dalam pernyataan resminya, Binance menyatakan total kerugian mencapai sekitar $6,3 miliar AS, dan telah bekerja sama dengan mitra on-chain untuk membekukan aset senilai sekitar $3 miliar AS (Tether $15,67 miliar AS + Circle $822 juta AS + Ripple RLUSD + Paxos + World Liberty, dll.). Namun, masih tersisa sekitar $3,27 miliar AS dalam bentuk BTC/ETH/XRP/SOL dan aset kripto lainnya yang bukan stablecoin, yang tetap dapat dipindahkan secara bebas. Binance telah menangguhkan sementara semua deposit dan penarikan, serta menyatakan akan menanggung seluruh kerugian dari dana SAFU dan modal perusahaan, dengan menegaskan bahwa “dana pengguna aman”.

Garispanduan Waktu Serangan: 3 Menit 24 Detik — dari Delegasi EIP-7702 hingga Pengalihan $250 Juta AS dalam Satu Transaksi Sweep

Rantai teknis serangan (diverifikasi lintas sumber: analisis teknis Blockaid pada 30 Oktober 2026 pukul 02:30 UTC; ChainCatcher Dickson Wu pada 30 Oktober 2026 pukul 08:00 UTC; pernyataan perkembangan Binance pada 30 Oktober pukul 10:00 UTC):

1. Malam 28 Oktober UTC — Persiapan awal: Dompet utama pelaku menarik 0,1 ETH sebanyak 3 kali dari Tornado Cash (cukup hanya untuk biaya gas);
2. 29 Oktober UTC pukul 13:51–16:47 — Simulasi: Pelaku menjalankan urutan lengkap delegate-and-sweep di 3 dompet uji yang sepenuhnya berada di bawah kendalinya, masing-masing memindahkan $2–$6 untuk menguji mekanisme delegasi EIP-7702 dan fungsi sweep;
3. 29 Oktober UTC pukul 15:59 — Penyebaran kontrak sweeper: Alamat kontrak 0x63e8…6fAe, kode sumber tidak diverifikasi, alamat operator adalah alamat pelaku, dan kontrak ini memuat fungsi sweep() (yang mencantumkan semua token + ETH untuk transfer sekaligus + fungsi forwarding agar akun yang didelegasikan dapat memanggil kontrak lain);
4. 29 Oktober UTC pukul 20:20:59 — Transaksi krusial: Pelaku mengirim transaksi tipe-4 ke Binance 14, lalu Binance 14 menandatangani 50 otorisasi EIP-7702 (nonce 18914775–18914824, 50 nonce berturut-turut), semuanya didelegasikan ke kontrak sweeper. Sebanyak 49 otorisasi gagal karena nonce kedaluwarsa, hanya 1 otorisasi yang cocok dengan nonce saat ini, sehingga delegasi berhasil—pada saat itu Binance 14 masih memproses penarikan secara normal, dan sistem tanda tangan tidak menyadari bahwa hak eksekusi kodenya baru saja diserahkan kepada pelaku;
5. 29 Oktober UTC pukul 20:24:23 — Transfer tunggal senilai $250 juta AS: Operator memanggil fungsi sweep(), lalu Binance 14 mengirimkan 167.464 ETH + 161,5 juta USDT + 61 jenis token = total $250 juta AS dalam satu transaksi. Sisa saldo di Binance 14 hanya 1 ETH;
6. 29 Oktober UTC pukul 20:24:47 – 21:00 — Pengosongan paralel di banyak rantai: 24 detik kemudian, Binance 16 menandatangani 9 transaksi senilai $174 juta AS (28.006 ETH + 55,7 juta USDT + RLUSD, dll.); 4 dompet panas Arbitrum mengirimkan 74,6 juta ARB + 8.426 ETH; Avalanche mengirimkan 1,81 juta AVAX + 841.000 USDT; Optimism Binance 55 mengirimkan 44,2 juta OP; di rantai BTC, 11 transaksi dalam satu blok membagi 18.270 BTC ke 19 alamat baru (masing-masing menerima 1.000 BTC); TRON mengirimkan 612,7 juta USDT + 46,4 juta TRX; XRP Ledger mengirimkan 233,5 juta XRP; Solana mengirimkan 970.522 SOL;
7. 29 Oktober UTC pukul 21:01:35 – 23:36 — Perang pembekuan stablecoin + upaya sweep terakhir gagal: Tether pertama kali memasukkan alamat 0x5227 ke daftar hitam pukul 21:01 (berisi 971 juta USDT); Circle membekukan $822,6 juta AS USDC pukul 21:04; Tether di rantai TRON membekukan 378,7 juta USDT pukul 21:09; pelaku membagi dan menjual 435 juta USDT menjadi ETH tiga menit sebelum pembekuan oleh Tether; Ripple membekukan RLUSD senilai $40,5 juta AS pukul 22:00; upaya terakhir fungsi sweep() gagal pukul 23:36—Binance telah mencabut otorisasi EIP-7702.

Garis waktu deteksi Blockaid: peringatan dikeluarkan dalam waktu kurang dari 2 menit setelah transaksi sweep berlangsung (sebelum ada laporan publik apa pun), konfirmasi “pembajakan izin tanda tangan + mekanisme delegasi EIP-7702” dalam 11 menit, dan dalam waktu 1 jam semua alamat pelaku ditandai sebagai berbahaya serta didistribusikan ke Ecosystem Incidents Feed seluruh pelanggan.

Rincian Aset yang Dicuri (Audit Lengkap Dickson Wu di 8 Rantai, 30 Oktober 2026 pukul 08:00 UTC)

Audit on-chain oleh insinyur CertiK Dickson Wu dimuat lengkap oleh ChainCatcher—ini merupakan sumber angka pencurian paling akurat saat ini:

Perang Pembekuan Aset: Sudah Dibekukan $2,8 miliar, Masih Ada $3,27 miliar yang Bisa Dipindahkan Bebas

Penerbit stablecoin dan Binance segera membekukan semua aset yang bisa dibekukan — tetapi sama sekali tidak berdaya terhadap aset non-stablecoin:

Perang “Pembatalan Pembekuan” oleh Tether: Sebelum daftar hitam pertama Tether (pukul 21:01 untuk alamat 0x5227, berisi 971 juta USDT), pelaku serangan sudah memecah 200 juta USDT ke alamat 0x0ddf…697e pada pukul 20:33. Sekitar 10 juta USDT dijual di DEX, dan 190 juta USDT dipindahkan ke alamat 0x8d53…639a, lalu disimpan di Aave untuk meminjam ETH. Circle membekukan USDC senilai $822,6 juta pada pukul 21:04:59 — namun pelaku serangan telah memindahkan 40,5 juta RLUSD ke alamat 0xe702…958d dan menjual 48 juta RLUSD demi mendapatkan ETH, bahkan transaksi penjualan terakhir terjadi di blok yang sama dengan pembekuan RLUSD oleh Ripple.

Reaksi Pasar: BNB Turun 10% dalam Sehari, Binance Sumbang $345 Juta Likuidasi

Amankah Dana Pengguna? Binance Menyatakan SAFU + Dana Perusahaan Menutupi Semua Kerugian, Kerugian Bersih Sekitar 0,69% dari Aset yang Dikustodikan

Yang dibobol kali ini adalah hot wallet Binance — dompet yang terhubung ke internet dan digunakan untuk memproses penarikan pengguna secara cepat, bukan cold wallet atau akun pribadi pengguna. Jaminan kunci:

• Pernyataan Resmi Binance: "We have not found any evidence of wallet private key leakage" (kunci privat dompet tidak berhasil dibobol secara matematis; serangan terjadi pada tingkat izin layanan tanda tangan);
• Pernyataan CZ (pukul 21:15 UTC, lebih dulu dari pernyataan resmi): "as a shareholder, I expect all user funds will be fully covered" (sebagai pemegang saham, saya memperkirakan semua dana pengguna akan ditutupi sepenuhnya);
• Pernyataan He Yi (co-founder): Mengonfirmasi Ripple telah membekukan RLUSD 40,5 juta, dan Binance sedang menyelidiki secara maksimal;
• Status Dana SAFU: Didirikan Juli 2018, pembelian koin terakhir dilakukan Februari 2026, seluruhnya dikonversi menjadi 15.000 BTC (senilai sekitar $1,2 miliar, harga per 30 Oktober 2026);
• Perkiraan Kerugian Bersih (oleh 0xngmi, pendiri DefiLlama): Total kerugian $6,28 miliar – $2,8 miliar yang sudah dibekukan = ≈ $3,48 miliar belum dibekukan; namun dengan mempertimbangkan kemungkinan pemulihan aset pelaku di masa depan, kerugian bersih total Binance diperkirakan sekitar $1 miliar (atau 0,69% dari total aset yang dikustodikan senilai $144–165 miliar), sehingga "neraca Binance dapat menutupi kerugian ini dengan sangat mudah";
• Penangguhan Penarikan: Binance menghentikan sementara semua deposit dan penarikan (mulai pukul 00:30 UTC 30 Oktober), dengan keterangan "will resume as soon as the security issue is fully resolved", tanpa jadwal pasti.

Peringatan risiko: Penangguhan penarikan itu sendiri bisa memperparah kepanikan (saat Bybit kehilangan $1,5 miliar pada 2025, penarikan tetap dibuka—dua pendekatan ini masih diperdebatkan kelebihan dan kekurangannya). Belum ada laporan individu tentang pembekuan akun pengguna dalam skala besar atau kehilangan dana pribadi, namun penyelidikan menyeluruh oleh Binance masih berlangsung.

Perbandingan Historis: Tiga Kali Pembobolan Binance Meningkat 153 Kali Lipat, Teknik Serangan Berubah dari Phishing ke Rantai Pasokan

Tren Pertumbuhan: Jumlah kerugian tiga kali pembobolan Binance: 2019 $41 juta → 2023 BNB Chain $566 juta → 2026 $6,3 miliar (peningkatan 153 kali lipat). Evolusi teknik serangan: mencuri kredensial pengguna lewat phishing → memanipulasi UI multi-signature → serangan rantai pasokan/kredensial internal → pembajakan hak eksekusi kode kunci tanda tangan melalui otorisasi delegasi EIP-7702. Laporan Blockaid menyebut ini sebagai serangan di tingkat "orang/sistem yang memberi tahu kunci apa yang harus dilakukan", bukan pada kunci itu sendiri secara matematis—yang hingga kini tetap aman.

Respons Regulator: Sepenuhnya Sunyi, Hanya CEO Circle yang Mengisyaratkan Intervensi Lembaga Penegak Hukum

Setelah Binance mengalami pembobolan menyeluruh, respons lembaga regulasi utama global justru sangat sunyi:

Sumber Data Utama dan Hal-hal yang Telah Ditandai sebagai UNCONFIRMED

Sumber data:

• Analisis teknis Blockaid (mekanisme delegasi EIP-7702, garis waktu serangan, garis waktu deteksi);
• Audit lengkap Dickson Wu dari ChainCatcher atas 8 rantai (angka rinci kerugian paling akurat);
• Berita langsung France24/AFP (Binance menangguhkan seluruh penarikan, pernyataan pembekuan dari CEO Tether/Circle);
• Akun X Binance (draft awal pukul 21:16 → dihapus pukul 21:24 → versi final pukul 21:29: “Dana pengguna sepenuhnya aman” → pengumuman berikutnya pukul 22:15, 23:06, dan sekitar pukul 00:30 UTC);
• Akun X CZ (pernyataan pertama pukul 21:15 UTC, lebih dulu daripada pernyataan resmi);
• Akun X CEO Tether (pernyataan pembekuan $1,567 miliar);
• Akun X CEO Circle (pernyataan pembekuan $823 juta USDC + “sedang berkoordinasi dengan pihak penegak hukum”);
• Analisis teknis EIP-7702 oleh 808bits.

Hal-hal yang telah ditandai UNCONFIRMED (tanpa spekulasi sama sekali):

1. Identitas pelaku: ZachXBT menduga kemungkinan besar adalah Lazarus Group (dengan metode serupa seperti serangan Bybit 2025), namun lembaga penegak hukum seperti FBI/Interpol belum secara resmi menetapkan pelaku; tidak ada penilaian tentang negara atau organisasi tertentu;
2. Cara spesifik peretasan laptop insinyur DevOps: Binance hanya menyebut “laptop insinyur DevOps berhasil diretas”, tanpa menjelaskan apakah melalui email phishing, malware, penyisipan USB, atau metode lain;
3. Jumlah akhir aset yang dicuri: Perkiraan resmi Binance adalah $6,3 miliar, sementara analis on-chain memperkirakan antara $5,78–6,28 miliar — angka ini masih berubah;
4. Lingkup dampak terhadap pengguna: Belum ditemukan kasus pengguna dalam skala besar yang akunnya dibekukan atau dananya hilang, namun penangguhan penarikan masih berlangsung;
5. Tindak lanjut regulasi: SEC/CFTC/DOJ dan regulator lain belum menyampaikan pernyataan publik; belum diketahui apakah akan membuka penyelidikan;
6. Keaslian klaim “AI terlibat dalam serangan”: Media (NBC) menyebut “AI mungkin terlibat” bersamaan dengan kejadian ini, namun tidak ada bukti teknis yang ditemukan; Forkast secara eksplisit menandai sudut pandang AI sebagai “tidak didukung sumber”;
7. Apakah serangan terhadap Polymarket / Bitget / Binance 2026 dilakukan oleh pelaku yang sama: Metodenya mirip, tetapi belum ada bukti nyata;
8. Waktu pemulihan penarikan Binance: Hanya disebut “secepat mungkin setelah masalah keamanan sepenuhnya terselesaikan”, tanpa jadwal pasti.

Waktu pembaruan data: Sekitar pukul 10:30 UTC tanggal 30 Oktober 2026 (pukul 18:30 waktu Beijing). Penyelidikan menyeluruh oleh Binance masih berlangsung, dan laporan analisis pasca-insiden (post-mortem) diperkirakan akan dirilis dalam waktu dekat.

Peringatan risiko dan pengungkapan promosi: Binance saat ini menangguhkan seluruh aktivitas deposit dan penarikan, tanpa pengumuman waktu pemulihan. Selama penangguhan penarikan, risiko likuiditas dan guncangan kepercayaan pengguna tetap ada. Informasi dalam artikel ini berlaku hingga 30 Oktober 2026; beberapa data (jumlah yang dibekukan, rincian aset yang dicuri, kerugian bersih) masih dalam proses pembaruan. Semua hal yang ditandai UNCONFIRMED tidak diberi spekulasi atau perkiraan apa pun. Artikel ini memuat tautan promosi; jika Anda mendaftar melalui tautan tersebut, kami mungkin menerima komisi — tanpa tambahan biaya bagi Anda dan tanpa memengaruhi penilaian dalam artikel ini.