Pernyataan Coinbase pada 4 November ditujukan untuk meyakinkan pelanggan, bukan menjanjikan bahwa serangan serupa mustahil terjadi. Perusahaan mengatakan peretasan Binance pada 29 Oktober tidak berdampak pada sistem ataupun dana pelanggan Coinbase. Coinbase juga menyebut lebih dari 99% aset pelanggan disimpan di cold storage, yakni dompet kripto yang tidak terhubung ke internet. Namun, angka tersebut merupakan klaim Coinbase; laporan yang tersedia tidak memverifikasi persentasenya secara independen ataupun menguji efektivitas kontrol keamanannya.
18
19
20
Apa yang disampaikan Coinbase tentang keamanan aset
Coinbase menggambarkan sistem penyimpanannya sebagai perlindungan berlapis. Menurut perusahaan, sebagian besar aset pelanggan disimpan secara offline, sementara sebagian kecil berada di hot wallet—dompet yang terhubung ke internet—untuk melayani aktivitas pelanggan. Laporan juga menyebut penggunaan kunci privat yang dibagi, batas penarikan, pemantauan aktivitas tak biasa, serta kemampuan menghentikan proses penandatanganan transaksi dalam keadaan darurat.
20
22
24
Coinbase juga mengatakan aset pelanggan didukung dengan rasio 1:1, tetap menjadi milik pelanggan, dan tidak dipinjamkan atau digunakan tanpa persetujuan mereka. Pernyataan ini menjelaskan posisi perusahaan soal penyimpanan dan kepemilikan aset, tetapi tidak dengan sendirinya membuktikan bahwa setiap tahap persetujuan transfer aman.
26
32
Perlindungan tersebut relevan, tetapi bukti yang tersedia terutama berupa pernyataan perusahaan dan pemberitaan yang mengutipnya. Bukti itu belum secara independen menunjukkan bahwa kontrol Coinbase akan mencegah setiap serangan dengan pola serupa.
Apa yang terjadi di Binance
Dalam pembaruan pada 3 November, Binance memperkirakan insiden itu berdampak pada aset senilai sekitar US$6,34 miliar. Sekitar US$2,85 miliar dilaporkan telah dibekukan atau dicegat. Angka tersebut masih dapat berubah seiring rekonsiliasi dan pergerakan harga pasar.
50 Pada 4 November, sejumlah laporan menyebut Binance telah mengganti sekitar 98% aset yang terdampak. Mengganti aset tidak sama dengan berhasil mengambilnya kembali dari pelaku.
20
Laporan mengenai serangan itu menggambarkan rangkaian yang mencakup wawancara kerja palsu, malware, laptop karyawan yang disusupi, dan penggunaan alat AI internal. Laporan berikutnya juga menyebut pelaku menyalahgunakan mekanisme otorisasi transaksi.
7
47 Dalam pembaruan awalnya, Binance mengatakan belum menemukan bukti bahwa kunci privat dompet bocor.
40 FBI mengaitkan pencurian tersebut dengan kelompok TraderTraitor dari Korea Utara.
1
Perbedaan ini penting: bursa bisa saja menjaga kunci privat, tetapi tetap menghadapi risiko jika penyerang memperoleh akses ke sistem atau proses yang memberi wewenang untuk mengirim transaksi. Menurut laporan, aset yang terdampak di Binance merupakan kepemilikan perusahaan, bukan akun individual pelanggan. Meski begitu, pelanggan menarik aset senilai US$3,6 miliar setelah bursa kembali membuka layanan, menurut BBC.
12
2
Mengapa cold storage saja belum cukup
Cold storage mengurangi jumlah aset kripto pelanggan yang bisa dijangkau langsung melalui sistem yang terhubung ke internet. Namun, tingginya porsi aset yang disimpan offline hanyalah satu lapisan keamanan. Bursa juga perlu melindungi layanan penandatanganan transaksi, akses ke sistem internal, serta aturan persetujuan transfer.
Insiden Binance memperlihatkan perbedaan antara menjaga kunci dan mengamankan proses yang mengizinkan transaksi. Temuan awal Binance menyatakan belum ada bukti kunci privat dompet bocor, sementara laporan berikutnya menyebut penyalahgunaan otorisasi transaksi.
40
47
Kesimpulan yang lebih tepat bukanlah bahwa Coinbase kebal dari serangan. Coinbase mengatakan layanannya tidak terdampak dan menjelaskan sejumlah perlindungan untuk penyimpanan serta penarikan dana. Klaim bahwa lebih dari 99% aset berada di cold storage memberi gambaran tentang pendekatan penyimpanannya, tetapi bukan bukti independen bahwa seluruh proses otorisasi transaksi tak dapat ditembus.
19
20
24