Peretasan Hot Wallet Triple-A: Dana Mengalir Rp190 Miliar dalam 31 Jam

Serangan dan Kerugian yang Membengkak

Penyelidik on-chain Specter pertama kali mendeteksi serangan pada Jumat, 24 Juli 2026 pukul 5:18 sore waktu Timur AS, dengan perkiraan awal Rp150 miliar dana dicuri dari berbagai blockchain . Selama 31 jam berikutnya, angka kerugian membengkak menjadi sekitar Rp190 miliar karena setoran baru terus berdatangan ke dompet yang sudah dibobol dan langsung dikuras oleh peretas . Pola ini—di mana kunci dompet panas telah dikompromikan tetapi dompet tetap aktif, secara otomatis menguras dana baru yang masuk—membedakan insiden ini dari eksploitasi satu kali.

Jaringan yang Terdampak

Peretas menguras aset di tujuh jaringan blockchain: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network (TON), dan Bitcoin . Sifat serangan multi-chain ini menuntut peretas untuk menukar dan menjembatani aset secara efisien, mengindikasikan operasi yang canggih.

Konsolidasi Aset dan Pergerakan On-Chain

Ciri khas dari eksploitasi ini adalah metode peretas dalam mengonsolidasikan dana. Peretas menukar stablecoin curian di bursa terdesentralisasi dan menjembatani semua hasil ke satu alamat Ethereum yang pada akhirnya menampung sekitar 5.227 ETH, senilai sekitar Rp156 miliar pada saat itu . Pola konsolidasi ini tipikal dalam eksploitasi dompet panas di mana peretas mengonversi aset non-native menjadi ETH untuk memudahkan pergerakan atau pencucian uang .

Respons Triple-A dan Pemisahan Aset

Triple-A mengonfirmasi pembobolan dompet treasury dan menyatakan bahwa dana nasabah tidak terpengaruh—dompet yang dikompromikan adalah dompet treasury perusahaan, bukan akun penyimpanan nasabah . Perusahaan mengatakan akan menyerap dampak finansial secara langsung dan sedang aktif menyelidiki insiden tersebut . Hal ini menyoroti arsitektur keamanan yang kritis: model pemisahan aset nasabah Triple-A menjaga dana klien tetap berada di akun khusus yang terpisah dari dompet treasury operasional yang dibobol .

Status Regulasi Triple-A

Triple-A adalah gerbang pembayaran fiat-ke-kripto berbasis di Singapura yang didirikan pada tahun 2020. Perusahaan ini memegang salah satu tumpukan lisensi terluas di sektor pembayaran kripto:

• Lisensi Major Payment Institution (MPI) dari Otoritas Moneter Singapura (MAS)
• Lisensi MiCA Crypto-Asset Service Provider (CASP) dari AMF Prancis, yang mengotorisasi layanan di seluruh 30 negara Uni Eropa/EEA
• Persetujuan prinsip dari Otoritas Regulasi Aset Virtual Dubai (VARA) untuk layanan broker-dealer

Perusahaan ini juga telah menjalin kemitraan dengan Mastercard untuk memperkuat infrastruktur pembayaran lintas batas .

Lanskap Peretasan Kripto 2026 yang Lebih Luas

Peretasan Triple-A tidak terjadi dalam isolasi. Beberapa firma keamanan melaporkan aktivitas peretasan yang memecahkan rekor atau mendekati rekor pada paruh pertama 2026:

PeckShield secara khusus menyoroti bahwa vektor serangan paling umum di H1 2026 adalah kerentanan jembatan, celah kontrak pintar, dan kunci privat yang dikompromikan . TRM Labs mencatat bahwa kompromi operasional—termasuk manajemen kunci dan infrastruktur penandatanganan—kini mewakili porsi kerugian yang lebih besar dibandingkan eksploitasi kontrak pintar murni . Kelompok yang terkait dengan Korea Utara disalahkan atas sekitar $643 juta (~66%) dari total kerugian H1 .

Immunefi melaporkan bahwa meskipun total kerugian turun di bawah $1 miliar untuk paruh pertama 2026—kurang dari setengah dari $2,3 miliar yang dicuri pada H1 2025—jumlah insiden sebanyak 207 adalah yang tertinggi yang pernah tercatat . The Block juga mencatat bahwa kerusakan paling parah semakin banyak berasal dari kegagalan infrastruktur, kompromi kunci privat, kesalahan konfigurasi lintas rantai, dan kelemahan dalam akses istimewa .

Catatan Penting

• Laporan berbeda mengenai angka kerugian akhir: pelacakan on-chain Specter mencapai $11,8 juta, sementara beberapa outlet melaporkan $12 juta .
• Jaringan Bitcoin tercantum di antara rantai yang terpengaruh di beberapa laporan tetapi tidak di semua, menunjukkan keterlibatan Bitcoin mungkin tidak langsung atau merupakan porsi yang lebih kecil dari total .
• Jaminan dana nasabah Triple-A secara khusus terkait dengan akun penyimpanan nasabah yang terpisah dari dompet treasury yang dikompromikan .

Apa Artinya Ini

Peretasan dompet panas Triple-A adalah contoh klasik dari lanskap ancaman yang terus berkembang di dunia kripto. Peretas tidak mengeksploitasi bug kontrak pintar; mereka mengompromikan kunci privat dompet panas—sejenis kegagalan operasional yang kini menyumbang sebagian besar nilai yang dicuri pada tahun 2026. Bagi gerbang pembayaran teregulasi dengan banyak lisensi, insiden ini menunjukkan pentingnya pemisahan aset (yang melindungi dana nasabah) dan kerentanan infrastruktur dompet panas yang terus-menerus. Saat industri memasuki paruh kedua tahun 2026, pelajarannya jelas: mengamankan kunci privat dan infrastruktur operasional kini lebih penting daripada mengaudit kode kontrak pintar.