Kebocoran Bitget Senilai $387,5 Juta Mendorong Total Pencurian Kripto Korea Utara Melampaui $1 Miliar

Kerugian mencapai satu miliar dolar dan sistem persetujuan yang disusupi

Pencurian senilai $387,5 juta dari Bitget pada 24 September 2026 mendorong kerugian mata uang kripto yang dikaitkan dengan peretas Korea Utara melampaui $1 miliar sepanjang tahun ini, menurut Chainalysis. Ditambah $643 juta yang dikaitkan dengan kelompok tersebut selama enam bulan pertama, peretasan itu membawa total kerugian menjadi sedikitnya $1,0305 miliar.

Serangan itu menyasar sesuatu yang lebih rumit daripada pencurian kata sandi atau pembobolan kunci dompet. Investigasi awal menyebut penyusup memperoleh akses melalui produk keamanan eksternal, mengambil alih server pemrosesan dompet, lalu memalsukan informasi persetujuan. Infrastruktur Bitget sendiri kemudian mengotorisasi transfer yang tampak sah.

Chainalysis mengatakan investigasinya pada 1 Oktober menelusuri XRP curian ke Bitcoin dan menemukan pola pencucian uang yang dikaitkan dengan kelompok Korea Utara. Para penyelidiknya menggunakan kecerdasan buatan untuk mengotomatiskan satu tugas penelusuran dalam waktu kurang dari 10 menit, dibandingkan lebih dari 20 jam jika dikerjakan secara manual. Kecepatan itu bukan berarti seluruh pencurian telah terungkap atau dananya berhasil dipulihkan.

Insiden itu juga menyingkap jaringan keuangan di luar para pelaku serangan. Penelitian atas transaksi selanjutnya mengidentifikasi biaya yang diperoleh layanan pertukaran, perbedaan respons terhadap dana mencurigakan, serta kemungkinan keterkaitan dengan perantara pencucian uang khusus. Temuan ini membantu menjelaskan mengapa mengidentifikasi mata uang kripto curian di blockchain publik hanyalah langkah awal untuk memulihkannya.

Sejumlah temuan masih bersifat awal. Chainalysis mengaitkan peretasan itu dengan kelompok Korea Utara, sedangkan Elliptic menilai keterkaitan tersebut sangat mungkin. Laporan publik belum menetapkan secara meyakinkan bahwa Lazarus Group secara khusus bertanggung jawab, dan vendor keamanan yang produknya diduga menjadi jalur masuk belum disebutkan namanya.

Bagaimana kerugian bertambah $35,9 juta

Awalnya, Bitget memperkirakan nilai pencurian sebesar $351,6 juta. Pada 25 September, angka itu dinaikkan menjadi $387,5 juta setelah aset terdampak tambahan teridentifikasi, termasuk transfer yang melibatkan Zcash dan Tron. Menurut bursa tersebut, kenaikan $35,9 juta itu mencerminkan penghitungan tambahan, bukan serangan kedua.

Totalnya sedikit berbeda di sejumlah investigasi. Bitquery menelusuri $386,80 juta melalui 23 transfer di sembilan jaringan. Sebuah laporan teknis memperkirakan penghitungan Bitget yang lebih luas mencapai sekitar $388 juta di 11 jaringan. Chainalysis menggambarkan distribusi awal melalui empat jaringan utama: Ethereum menerima 49,7%, XRP 40,8%, Zcash 7,6% dan Tron 1,8%. Persentase yang dibulatkan tersebut berjumlah 99,9%.

Angka-angka itu mencerminkan cakupan pelacakan yang berbeda dan tidak boleh dianggap sebagai daftar aset yang sama persis. Laporan teknis memperkirakan komponen XRP sebesar $157,8 juta dan menyebut sekitar $214 juta berasal dari dompet yang diklasifikasikan Bitquery sebagai dompet hangat. Dompet panas dan hangat merupakan kumpulan mata uang kripto operasional untuk mendukung transaksi dan penarikan, bukan cadangan yang sepenuhnya disimpan secara luring.

Laporan juga berbeda mengenai waktu Bitget mendeteksi masalah. Beberapa laporan menyebut deteksi terjadi pada 18:31 UTC, 24 September. Rekonstruksi terperinci mengidentifikasi waktu tersebut sebagai saat transfer kecil pertama terjadi dan menyebut peringatan rekonsiliasi muncul pada 19:05. Perbedaan ini penting karena laporan yang lebih terperinci memperkirakan sekitar $238 juta, atau kurang lebih 61% dari kerugian, keluar setelah peringatan tersebut.

Linimasa dari penyusupan hingga layanan dibuka kembali

Temuan awal yang dikaitkan dengan Mandiant dan SlowMist menempatkan aktivitas berbahaya pertama yang tercatat pada 31 Agustus, lebih dari tiga pekan sebelum pencurian. Linimasa publik memisahkan akses awal, perpindahan dana dan respons bursa.

• 31 Agustus: Aktivitas berbahaya paling awal yang tercatat diduga memanfaatkan kerentanan yang belum diketahui dalam sebuah produk keamanan.
• 24 September, 17:49 UTC: Sebuah alat penarikan khusus mulai dijalankan di host dompet.
• 24 September, 18:31 UTC: Transfer pertama yang berhasil ditelusuri memindahkan 93 TRX, lalu 0,84 ETH.
• 24 September, 19:05 UTC: Rekonstruksi terperinci menempatkan peringatan rekonsiliasi Bitget dan pembatasan permintaan penarikan pelanggan pada waktu ini.
• 24 September, 21:23 UTC: Transfer terakhir yang berhasil ditelusuri memindahkan 223,20 ETH. Layanan penarikan dompet, termasuk penandatanganan, dihentikan pada 21:44.
• 25 September: Bitget mengidentifikasi dugaan akar masalah, melaporkan insiden kepada penegak hukum dan merevisi perkiraan kerugian.
• 28 hingga 30 September: Penarikan Bitcoin, Ethereum dan USDT dibuka kembali secara bertahap. Laporan forensik awal diterbitkan pada 30 September.
• 1 Oktober: Chainalysis menerbitkan temuan atribusi dan pelacakan. Layanan yang tersisa dijadwalkan kembali beroperasi paling lambat 2 Oktober.

Laporan terperinci menyebut layanan penandatanganan tetap aktif selama dua jam 39 menit setelah peringatan pukul 19:05. Karena itu, pemblokiran permintaan pelanggan biasa tidak serta-merta menghentikan jalur terpisah yang digunakan penyerang untuk mengakses proses penarikan.

Penyerang menggunakan layanan penandatangan tanpa mencuri kunci

Bitget mengatakan kunci dompet dinginnya tidak dibobol dan serangan itu tidak bergantung pada permintaan penarikan pelanggan yang dipalsukan. Sebaliknya, penyerang diduga memasukkan data otorisasi transaksi palsu dari dalam infrastruktur dompet. Kunci privat adalah kredensial rahasia yang mengotorisasi transfer mata uang kripto. Dalam kasus ini, persoalannya adalah layanan penandatangan yang sah dapat diperintahkan untuk menyetujui transaksi ilegal.

Rekonstruksi teknis awal menguraikan dua produk keamanan yang tidak disebutkan namanya. Aktivitas pada produk pertama diduga memungkinkan skrip tersembunyi membaca kata sandi basis data yang disimpan dalam variabel lingkungan. Penyerang kemudian mengoperasikan platform pengelolaan produk kedua dengan identitas pegawai internal, sebelum mencapai server dompet produksi dan memasang perangkat lunak berbahaya.

SlowMist dilaporkan memulihkan alat yang telah dihapus dan dirancang khusus untuk sistem penarikan Bitget. Alat itu memalsukan kolom pengendalian risiko dan memanggil proses penarikan. Hubungan pasti antara akses awal ke basis data dan identitas yang digunakan pada produk kedua masih belum dikonfirmasi.

Bitget menyebut titik masuknya sebagai kerentanan zero-day, yakni celah perangkat lunak yang sebelumnya belum diketahui. Hingga laporan teknis 2 Oktober, nama kedua vendor belum diungkap dan belum ada pengenal kerentanan atau imbauan publik. Bitget mengatakan telah memperbaiki celah tersebut, tetapi informasi publik yang tersedia belum cukup terperinci bagi pelanggan lain untuk mengidentifikasi produk yang terdampak.

Produk Bitget Wallet yang terpisah tidak terdampak. Layanan itu menggunakan infrastruktur berbeda dan memungkinkan pengguna mengendalikan aset mereka sendiri. Perbedaan ini membatasi cakupan peretasan yang diketahui, tetapi tidak mengurangi kerugian dari dompet operasional bursa.

Dasar atribusi kepada Korea Utara

CEO Bitget Gracy Chen merujuk pada perilaku alamat internet dan tanda tangan transaksi blockchain saat menjelaskan dugaan keterkaitan dengan Korea Utara. Ia menggambarkan teknik tersebut sebagai berikut:

konsisten dengan teknik yang digunakan kelompok peretas yang terkait dengan DPRK

Chen kemudian mengatakan keterkaitan itu didasarkan pada indikator awal. Chainalysis secara terpisah mengatribusikan pencurian tersebut kepada kelompok Korea Utara, sedangkan Elliptic mengutip keterkaitan dengan alamat pencucian uang yang terkait dengan pencurian sebelumnya, termasuk Bybit. TRM Labs juga menilai keterkaitan dengan Korea Utara kemungkinan besar benar dalam laporan teknisnya.

Penilaian ini tidak sama dengan kesimpulan pidana yang diumumkan kepada publik. Investigasi awal Mandiant tidak menyebut nama pelaku, dan berbagai penyelidikan belum secara terbuka memastikan bahwa subkelompok Lazarus tertentu melakukan penyusupan ke Bitget.

Angka tahunan juga perlu dicermati. Kerugian Drift Protocol sebesar $285 juta pada 1 April dan kerugian KelpDAO sebesar $292 juta pada 18 April mencapai total $577 juta, sekitar 90% dari $643 juta yang dikaitkan dengan kelompok Korea Utara pada paruh pertama tahun ini. Peneliti mengaitkan eksploitasi KelpDAO dengan TraderTraitor, kelompok yang dikaitkan dengan serangan terhadap infrastruktur penghubung blockchain. Elliptic secara terpisah menghitung lebih dari 51 insiden yang diduga dilakukan Korea Utara pada 2026, kategori yang lebih luas daripada kerugian terkonfirmasi.

AI mempercepat bagian tertentu dari penelusuran dana

Chainalysis mengatakan bekerja sama dengan Bitget dan penegak hukum untuk menelusuri aset curian. Dalam sekitar tiga jam, dana telah berpindah melalui 23 transfer sebelum melewati protokol likuiditas, layanan pesan, pertukaran instan dan layanan pencucian uang.

Salah satu tugas utama adalah mencocokkan XRP curian yang disetorkan ke sebuah protokol dengan Bitcoin yang dibayarkan di tempat lain. Layanan semacam itu memungkinkan pengguna menukar aset di berbagai blockchain. Penyelidik harus menghubungkan transaksi masuk dan keluar meskipun aset, alamat dan catatan transaksinya berbeda.

Chainalysis menelusuri dana puluhan juta dolar melalui jalur itu selama sekitar satu setengah hari hingga mencapai alamat Bitcoin yang dikendalikan penyerang. Perusahaan itu mengatakan otomatisasi yang dibangun menggunakan AI internal memangkas tugas rekonsiliasi dari lebih dari 20 jam menjadi kurang dari 10 menit, dengan penyelidik manusia mengarahkan pekerjaan dan meninjau hasilnya. Berdasarkan perkiraan tersebut, tugas itu memakan waktu kurang dari seperseratus dua puluh waktu sebelumnya.

Perpindahan dana lainnya lebih sulit ditelusuri. Penyerang mulai memasukkan dana ke dalam pool terlindung Zcash, tempat fitur privasi menyamarkan detail transaksi yang biasanya membantu menghubungkan pengirim, penerima dan jumlah dana. Chainalysis mengatakan akan terus memantau alamat tujuan serta berbagi informasi dengan bursa dan penegak hukum.

Pelacakan tidak dengan sendirinya memungkinkan penyitaan. Bitcoin dan ether tidak memiliki penerbit pusat yang dapat membekukan saldo. Pemulihan umumnya membutuhkan kerja sama platform, penerbit yang memiliki kewenangan membekukan aset, atau pengambilalihan aset oleh pihak berwenang.

Layanan pertukaran berbeda sikap soal intervensi

NEAR Intents mengatakan sistem SHIELD-nya memblokir lebih dari $50 juta dalam transfer yang dicoba dan dikaitkan dengan peretasan tersebut, serta membekukan sekitar $503.000 saat transaksi berlangsung. General manager Alex Shevchenko mengatakan sekitar $166.000 sempat lewat sebelum aliran dana yang dicurigai dihentikan.

THORChain terus memproses pertukaran dan menolak permintaan Bitget untuk melakukan intervensi secara selektif. Protokol itu membedakan penghentian darurat jaringan, yang bertujuan melindungi operasinya sendiri, dari pemblokiran alamat atau transaksi tertentu. THORChain merujuk pada eksploitasi senilai $10,7 juta yang menimpanya sendiri pada Mei dan mengatakan para penyerangnya juga tidak kemudian masuk daftar hitam untuk pertukaran.

Cuplikan data BlockSec pada 29 September memperkirakan sekitar $269 juta dalam aliran dana terkait Bitget melewati 7.804 transaksi THORChain. Angka itu merupakan total nilai transaksi, bukan berarti jumlah dana curian yang berbeda: dana yang sama mungkin dihitung lebih dari sekali saat bergerak melalui layanan tersebut.

Perkiraan pembekuan juga berbeda. Satu laporan menyebut total pembekuan stablecoin oleh Circle dan Tether sekitar $318.000. Perkiraan teknis yang lebih luas pada 1 Oktober menempatkan pembekuan oleh kedua penerbit tersebut dan NEAR Intents di sekitar $1,1 juta. Angka-angka ini memiliki tanggal dan cakupan berbeda sehingga tidak boleh dijumlahkan sebagai pemulihan yang terpisah.

Transaksi pencucian uang menghasilkan biaya dan lonjakan perdagangan

Peneliti independen Andrey Sergeenkov menghitung biaya layanan dan protokol sebesar $761.725 dari transaksi yang ditinjau hingga 2 Oktober pukul 10:22 UTC. Rinciannya mencakup $573.226 untuk penyedia likuiditas THORChain, $149.417 untuk MetaMask, $26.751 untuk Chainflip dan $12.332 untuk CoW EthFlow.

Ia secara terpisah mengidentifikasi $259.718 dalam biaya afiliasi THORChain yang dibayarkan kepada tujuh alamat dengan keterkaitan finansial tambahan terhadap dompet yang terlibat dalam pertukaran tersebut. Sebanyak $206.196 lainnya diterima pihak-pihak yang tidak terbukti memiliki keterkaitan tambahan tersebut. Angka untuk kategori afiliasi ini merupakan hasil analisis terpisah, bukan dana yang dipulihkan.

Disebut sebagai penerima biaya tidak membuktikan bahwa seseorang memiliki hubungan dengan penyerang. Sergeenkov menelusuri sebagian hasil dari penerima terbesar yang memiliki keterkaitan, yang menerima $177.499, hingga menjadi USDT dan akhirnya masuk ke alamat berlabel OKX Hot Wallet 5. Jejak itu tidak memastikan identitas pelanggan bursa atau keterlibatannya dalam pencurian.

THORChain mencatat pendapatan sistem sebesar $3,01 juta pada September dan volume pertukaran $2,40 miliar. Antara 25 dan 29 September, protokol itu memproses sekitar $1,37 miliar, atau 57% volume bulanan, serta menghasilkan sekitar $1,9 juta, atau 63% pendapatan bulanan. Total periode tersebut mencakup aktivitas di luar dana curian yang berhasil diidentifikasi.

Pernyataan protokol itu menggambarkan waktu terjadinya lonjakan:

Antara 25 dan 29 September, volume harian berkisar sekitar $190 juta hingga $460 juta, saat dana yang terkait dengan eksploitasi Bitget bergerak melalui jaringan.

Jumlah dompet aktif meningkat dari 23.500 pada Agustus menjadi 25.000 pada September, naik sekitar 6,4%. Pertumbuhan yang relatif kecil ini berbanding dengan volume pertukaran yang melonjak dari $613 juta menjadi $2,40 miliar. Angka tersebut menunjukkan adanya transaksi besar yang terkonsentrasi, bukan pertumbuhan pengguna dalam skala serupa.

Perantara mungkin membayar penyerang sebelum dana menghilang

Investigasi atas pencurian Bybit pada 21 Februari 2025 menggambarkan mengapa dana curian yang terlihat mungkin tidak lagi mewakili uang yang masih dikuasai peretas aslinya. FBI mengatribusikan serangan senilai sekitar $1,5 miliar itu kepada kelompok TraderTraitor dari Korea Utara. Peneliti menduga perantara khusus menerima aset curian, membayar penyerang senilai aset tersebut setelah dipotong biaya, lalu menanggung risiko pencucian uang berikutnya.

Perusahaan keamanan zeroShadow memperkirakan lebih dari $1 miliar dari Bybit dicuci antara Februari dan Juni 2025. Hal itu tidak membuktikan seluruh jumlah tersebut berubah menjadi mata uang konvensional atau setara dengan hasil bersih yang diterima penyerang. Chainalysis juga menggambarkan puluhan juta dolar dari Bybit dan WazirX melewati jaringan vendor Xinbi, tempat para perantara diduga menukar aset yang dapat dilacak dengan stablecoin dari aktivitas kriminal lain.

Dalam pengungkapan pada 5 Oktober, penyelidik pseudonim ZachXBT mengatakan ia mengeluarkan $349.700 dalam stablecoin dan menerima kerugian 5% pada setiap pesanan saat menyamar sebagai pelanggan. Ia mengatakan operator bernama Jimmy Green membantu mengungkap klaster yang menyimpan lebih dari $12 juta dana terkait Bybit, dan Tether kemudian membekukan 442.000 USDT.

ZachXBT menuduh jaringan itu beroperasi di Hong Kong dan China daratan serta mencuci lebih dari $1 miliar untuk Lazarus. Besarnya jaringan dan identitas operator belum dikonfirmasi secara independen melalui dakwaan publik. Ia juga menuduh pihak-pihak dari China yang menangani dana Bitget mencari bantuan di grup publik Discord dan Telegram, serta seorang operator pernah menangani hasil KelpDAO.

Dana penyangga Bitget dan batas pemulihan

Bitget mengatakan Dana Perlindungan Penggunanya berjumlah lebih dari $464 juta sebelum serangan dan akan menanggung kerugian pelanggan. Pencurian senilai $387,5 juta setara dengan sekitar 83,5% dari cadangan sebesar $464 juta. Perbandingan itu mengukur potensi beban, bukan membuktikan bagaimana kompensasi dibayarkan atau aset mana yang digunakan untuk mendanainya.

Pada 28 September, bursa itu berjanji mengisi kembali dana tersebut hingga sedikitnya $300 juta dalam waktu sepekan. Bitget mengumumkan bahwa target itu tercapai pada 30 September. Bursa itu juga menawarkan imbalan hingga 5% untuk dana yang berhasil dibekukan atau dipulihkan, bekerja sama dengan Mandiant dan SlowMist, serta merilis dasbor pelacakan dompet.

Menurut Bitget, perdagangan dan deposit tetap dibuka selama penghentian penarikan. Penarikan Bitcoin dilanjutkan pada 28 September, disusul Ethereum pada 29 September dan USDT pada 30 September. Bursa itu mengatakan tidak ada kerugian tambahan selama penangguhan. Token BGB turun hampir 7% menjadi $1,93 sebelum pulih ke $1,97 dalam cuplikan perdagangan yang dilaporkan.

Besarnya total kerugian pada September juga diperdebatkan karena perbedaan cakupan penghitungan. PeckShield mencatat 55 peretasan dengan total $766,5 juta, sedangkan CertiK menghitung 97 insiden dengan total $768,4 juta. Bitget menyumbang sekitar setengah dari masing-masing total. Laporan menyebut kerugian terpisah pada Liquid Network sebesar $319 juta hingga $320 juta, dengan lebih dari $270 juta dilaporkan telah dikembalikan. Insiden lain yang dilaporkan melibatkan Coldcard, dengan kerugian sekitar $116 juta pada Juli.

Upaya penegakan hukum meluas hingga di luar pencurian bursa. Departemen Keuangan AS menjatuhkan sanksi terhadap delapan orang dan dua entitas yang dituduh mencuci hasil kejahatan siber dan pendapatan pekerja TI di luar negeri. Tuduhan itu mencakup bankir yang mengelola sedikitnya $5,3 juta melalui First Credit Bank serta penyamaran dana melalui perantara di China dan Rusia. Tindakan terpisah Departemen Kehakiman melibatkan $7,7 juta yang terkait dengan dugaan penipuan pekerja TI dan lebih dari $15 juta yang terkait dengan empat pencurian yang diatribusikan kepada APT38.

Kasus-kasus ini menunjukkan mengapa pembekuan, penyitaan dan penggantian kerugian merupakan tahapan yang berbeda. Jumlah akhir dana Bitget yang berhasil dipulihkan, identitas vendor yang rentan dan laporan teknis final masih belum diketahui. Belum ada tanggal pasti untuk penyelesaian investigasi atau pengembalian aset curian yang diumumkan.

Poin Utama

• Revisi kerugian Bitget menjadi $387,5 juta membawa total pencurian terkait Korea Utara pada 2026 yang dilaporkan menjadi sedikitnya $1,0305 miliar.
• Temuan awal menyebut data persetujuan yang dipalsukan, bukan kunci privat yang dicuri, sebagai mekanisme yang memungkinkan penarikan.
• Chainalysis mengatribusikan serangan tersebut kepada kelompok Korea Utara; atribusi spesifik kepada Lazarus belum dikonfirmasi kepada publik.
• AI memangkas satu tugas penelusuran dana menjadi kurang dari 10 menit, tetapi pelacakan itu tidak memulihkan aset.
• Layanan pertukaran berbeda sikap mengenai intervensi, sementara transaksi pencucian uang yang ditinjau menghasilkan biaya dalam jumlah besar.
• Bitget mengumumkan pemulihan dana perlindungan hingga sedikitnya $300 juta dan membuka kembali penarikan secara bertahap.
• Total pemulihan akhir serta identitas vendor keamanan yang terdampak masih belum diketahui.