Peretasan Bitget: Penarikan Dibuka Bertahap, Dana Nasabah Diklaim Terlindungi

Bitget menaikkan perkiraan aset yang dialihkan ke alamat yang dikendalikan penyerang dalam insiden 24 September menjadi sekitar US$387,5 juta, dari estimasi awal US$351,6 juta. Bursa kripto itu menyatakan kerugian nasabah akan ditanggung melalui User Protection Fund. Sementara itu, laporan pelacakan menyebut aset bergerak melalui THORChain dan layanan lain. Namun, ada catatan penting soal cara serangan: sejumlah laporan menyebut sistem dompet backend telah disusupi, tetapi sumber yang tersedia belum memuat laporan teknis lengkap yang mengonfirmasi urutan kejadian tersebut.63342

Apa yang terjadi?

Bitget mengatakan sistem keamanannya mendeteksi transfer tanpa izin dari sejumlah dompet panas pada 24 September pukul 18.31 UTC. Dalam pemberitahuan awal, bursa menyebut sebagian lapisan dompet panas dan hangat terdampak, sementara dompet dingin tetap aman. Perkiraan terbaru sebesar US$387,5 juta mencerminkan penelusuran dan pengelompokan lebih lanjut atas aset yang dikirim ke alamat penyerang.216

Salah satu laporan menyebut penyerang membajak sistem dompet backend dan memasukkan instruksi transfer palsu ke proses penandatanganan transaksi Bitget.33 Namun, laporan lain menyatakan jalur serangan belum sepenuhnya diketahui dan masih menunggu penjelasan menyeluruh.42 Bitget mengatakan kerentanan yang mendasari insiden telah ditemukan dan diperbaiki, tetapi pernyataan itu belum dengan sendirinya mengonfirmasi semua detail metode serangan yang dilaporkan.618

Jadwal pemulihan penarikan

Bitget mengumumkan jadwal pembukaan penarikan secara bertahap dalam waktu UTC. Jadwal ini merupakan rencana pemulihan layanan, bukan jaminan bahwa semua penarikan pasti tersedia tepat pada waktu yang tercantum. Laporan menyebut penarikan Bitcoin mulai tersedia kembali pada 28 September pukul 08.00 UTC.420

Jadwal (UTC)	Layanan penarikan
28 September, pukul 08.00	BTC melalui jaringan Bitcoin dan BSC
29 September, pukul 08.00	ETH melalui Ethereum, BSC, Arbitrum, Base, dan Optimism
30 September, pukul 08.00	USDT melalui Ethereum, BSC, Solana, dan Tron
2 Oktober, pukul 08.00	Token lain, mata uang fiat, dan penarikan P2P

Bitget menyatakan timnya melakukan pemeriksaan keamanan tambahan terhadap infrastruktur penarikan sebelum layanan dipulihkan. Secara terpisah, layanan perdagangan Onchain Bitget sempat tidak tersedia selama peninjauan keamanan. Pemberitahuan yang dikutip tidak mencantumkan waktu pasti layanan itu akan kembali.182017

Bagaimana Bitget berencana menanggung kerugian nasabah?

Bitget menyatakan kerugian tersebut masuk dalam cakupan User Protection Fund, yang menurut laporan bernilai sekitar US$464 juta saat itu. Ini merupakan komitmen perlindungan yang disampaikan bursa; sumber yang tersedia belum memastikan bahwa seluruh kompensasi kepada nasabah sudah diselesaikan.46

Ke mana aset yang dicuri bergerak?

Laporan menyebut penyerang menukar ETH hasil curian menjadi bitcoin melalui THORChain, protokol pertukaran lintas jaringan. Bitget meminta protokol tersebut menolak layanan untuk alamat yang dikaitkan dengan insiden, tetapi THORChain menolak permintaan itu. Laporan menyebut aset masih bergerak melalui protokol tersebut setelahnya. Peristiwa ini memunculkan perdebatan antara upaya menghentikan pergerakan aset yang diduga hasil pencurian dan model THORChain yang beroperasi tanpa izin terpusat.58

Circle dan Tether dilaporkan membekukan sebagian stablecoin yang terkait dengan insiden. Nilainya disebut sekitar US$318.000 dalam satu laporan, sementara laporan lain menyebut sekitar US$339.000. Sumber yang tersedia tidak menjelaskan perbedaan angka itu, sehingga keduanya sebaiknya diperlakukan sebagai perkiraan, bukan jumlah final.23

Bitget juga meluncurkan program hadiah pemulihan yang menawarkan imbalan terpisah sebesar 5% untuk bantuan yang memenuhi syarat dalam membekukan dana dan 5% untuk memulihkannya.19 Laporan lain menyebut 4 BTC yang dikaitkan dengan penyerang dialirkan melalui Wasabi CoinJoin, sebuah alat privasi.10 Informasi tersebut menggambarkan sebagian upaya pelacakan, bukan bukti bahwa seluruh dana telah berhasil dipulihkan.

Hal yang masih belum pasti

Bitget menyatakan kerentanan telah diperbaiki dan proses validasi keamanan serta pelacakan dana masih berlangsung, dengan dukungan Mandiant dan SlowMist dalam penyelidikan.618 Laporan yang tersedia belum memastikan siapa pelaku di balik serangan. Belum ada pula bukti bahwa seluruh dana telah ditemukan atau seluruh kompensasi nasabah telah dibayarkan.