Pencurian Coinbase Diduga Berawal dari Rekayasa Sosial, Bukan Eksploitasi Smart Contract

Perbedaan ini penting. Dalam eksploitasi smart contract, pelaku biasanya menyalahgunakan kelemahan logika pada aplikasi yang berjalan di blockchain. Dalam penipuan yang menyamar sebagai petugas dukungan, pelaku memanipulasi pemilik akun agar mengizinkan atau memudahkan transfer. Titik lemahnya adalah kepercayaan dan pengambilan keputusan pengguna—sering kali diperkuat oleh informasi pribadi yang tampak meyakinkan serta tekanan untuk bertindak cepat.

Apa yang ditunjukkan oleh estimasi kerugian yang lebih luas

Pada Februari 2025, penyelidik blockchain ZachXBT dan tanuki42 melaporkan kerugian pengguna Coinbase lebih dari US$65 juta sepanjang Desember 2024 dan Januari 2025. Mereka memperkirakan kerugian tahunan dari penipuan rekayasa sosial serupa dapat melampaui US$300 juta. Peninjauan mereka mencakup laporan korban dan aktivitas on-chain, tetapi mereka juga mengakui bahwa data yang tersedia tidak lengkap.

Dalam laporan berikutnya, sekitar US$45 juta kerugian tambahan pengguna Coinbase dikaitkan dengan penipuan rekayasa sosial terkoordinasi hanya dalam satu minggu pada Mei 2025. Angka-angka ini mendukung dugaan bahwa serangan berlangsung terus-menerus dan terorganisasi. Namun, angka tersebut tidak dengan sendirinya membuktikan bahwa semua insiden yang dilaporkan dikendalikan oleh operator dompet yang sama.

Satu penyelidikan juga menemukan alamat konsolidasi yang dikaitkan dengan lebih dari 25 korban. Pengelompokan semacam ini dapat membantu penyelidik menghubungkan transaksi dan mengenali pola kampanye, tetapi tetap merupakan atribusi tidak langsung, bukan bukti identitas pelaku di dunia nyata.

Insiden data pelanggan Coinbase menjadi konteks penting—tetapi belum terbukti terkait

Pada Mei 2025, Coinbase mengungkapkan bahwa kriminal menyuap sebagian personel dukungan pelanggan di luar negeri untuk memperoleh informasi pelanggan. Data yang dicuri dilaporkan akan digunakan untuk menyamar sebagai Coinbase dan menipu pengguna agar mengirimkan mata uang kripto. Coinbase memperkirakan biaya pemulihan serta penggantian sukarela kepada pelanggan berada di kisaran US$180 juta hingga US$400 juta.

Insiden tersebut dapat membuat penipuan yang mengatasnamakan dukungan pelanggan menjadi lebih meyakinkan. Penelepon yang mengetahui nama, detail kontak, atau informasi akun pelanggan bisa terlihat jauh lebih kredibel. Namun, bukti publik yang tersedia belum membuktikan bahwa kriminal di balik pencurian data internal tersebut adalah orang yang sama dengan pengendali dompet yang dikaitkan dengan laporan pencurian yang lebih luas. Karena itu, kedua peristiwa tersebut sebaiknya dipahami sebagai konteks risiko yang saling berkaitan, bukan atribusi bersama yang sudah terkonfirmasi.

Ejekan terhadap penyelidik menunjukkan perilaku, bukan identitas

Pada Mei 2025, sebuah dompet yang oleh penyelidik dikaitkan dengan kampanye phishing terhadap pengguna Coinbase dilaporkan menukar Bitcoin senilai sekitar US$42,5 juta menjadi Ether melalui THORChain. Dompet tersebut juga mengirim pesan on-chain kepada ZachXBT yang berbunyi “L bozo.”

Pesan itu menunjukkan bahwa pengendali dompet bersedia memprovokasi penyelidik secara terbuka. Namun, pesan tersebut tidak mengungkap nama, lokasi, atau hubungan pelaku dengan seluruh pencurian lain yang dikaitkan dengan kampanye tersebut.

Mengapa Tornado Cash menyulitkan pemulihan dana

Mixer mata uang kripto dirancang untuk mempersulit hubungan langsung antara setoran dan penarikan berikutnya. Tornado Cash menggunakan pool bersama serta mekanisme transaksi yang menjaga privasi, sehingga dana yang disetor dari satu alamat dapat ditarik kemudian ke alamat yang berbeda. Blockchain tidak menghilang, tetapi jalur sederhana dari setoran ke penarikan menjadi jauh lebih sulit dibuktikan.

Penyelidik masih dapat memeriksa waktu transaksi, jumlah dana, pola berulang suatu dompet, penggunaan bridge, bursa terdesentralisasi, serta alamat deposit di bursa tersentralisasi. Petunjuk-petunjuk tersebut dapat membantu membangun korelasi. Namun, korelasi tidak selalu cukup untuk mengidentifikasi orang di balik penarikan atau meyakinkan bursa maupun pengadilan agar membekukan dana. Semakin lama aset berada di luar kustodian yang dapat dilacak, semakin sulit pula proses pemulihannya.

Apa arti putusan Tornado Cash pada November 2024

Pada 26 November 2024, Pengadilan Banding Amerika Serikat untuk Sirkuit Kelima menyatakan bahwa Office of Foreign Assets Control (OFAC) di bawah Departemen Keuangan AS telah melampaui kewenangan berdasarkan undang-undang ketika menjatuhkan sanksi terhadap smart contract Tornado Cash yang bersifat immutable. Pengadilan beralasan bahwa smart contract tersebut bukan “properti” yang dapat diblokir berdasarkan undang-undang terkait.

Putusan itu membahas dasar hukum sanksi tersebut. Putusan itu tidak melegalkan pencurian atau pencucian uang, menghapus potensi pertanggungjawaban pidana, maupun menjamin bahwa dana yang dikirim melalui mixer dapat dipulihkan. Putusan pengadilan dan pertanyaan mengenai penggunaan kriminal merupakan dua persoalan yang berbeda.

Pelajaran praktis bagi pengguna Coinbase

Risiko paling persisten dalam kasus ini bukan kegagalan misterius pada infrastruktur blockchain Coinbase, melainkan seseorang yang terdengar meyakinkan melalui panggilan, pesan, atau tautan.

Pengguna sebaiknya:

• Menganggap panggilan, SMS, dan pesan langsung yang mengaku sebagai dukungan Coinbase—terutama jika tidak diminta—sebagai upaya penipuan.
• Tidak pernah memberikan kata sandi, seed phrase, kode sekali pakai, atau private key.
• Tidak memberikan akses jarak jauh ke perangkat atas permintaan orang yang mengaku sebagai petugas dukungan.
• Menghindari tautan dukungan yang dikirim melalui pesan tak terduga.
• Membuka aplikasi resmi Coinbase atau mengetik alamat situsnya secara mandiri sebelum mencari bantuan.
• Jika pencurian terjadi, menyimpan pesan, nomor telepon, alamat dompet, dan transaction hash, lalu segera melaporkan insiden tersebut.

Pergerakan dana pada 16 Agustus menunjukkan bahwa aset yang dikaitkan dengan kampanye tersebut masih aktif. Namun, kesimpulan yang lebih mendasar tetap sama: rekayasa sosial dapat menembus kontrol teknis yang kuat ketika pelaku berhasil membujuk pengguna yang sah untuk menyetujui transfer.