Peretasan Bitget US$387,5 Juta: Fakta yang Diketahui Sejauh Ini

Bitget mengatakan penyerang memindahkan aset senilai sekitar US$387,5 juta dari sebagian dompet bursa pada 24 September 2026. Berdasarkan keterangan awal bursa, insiden ini melibatkan sistem backend dompet dan instruksi penarikan palsu—bukan pencurian kunci privat. Penyelidik menilai ada kemungkinan kaitan dengan Korea Utara dan menyebut dugaan perantara pencucian dana, tetapi identitas pelaku belum dipastikan. 182130

Bagaimana peretasan Bitget diduga terjadi

Bitget mendeteksi transfer tanpa izin dari sebagian dompet hot dan warm sekitar pukul 18.31 UTC. Dalam penjelasan awalnya, bursa mengatakan penyerang mungkin memanfaatkan kerentanan pada produk keamanan pihak ketiga untuk memperoleh kredensial internal tingkat tinggi. Kredensial itu diduga digunakan untuk mengirim instruksi penarikan palsu melalui sistem dompet. 21

CEO Bitget, Gracy Chen, mengatakan penyerang memalsukan data transaksi agar proses otorisasi Bitget menyetujui perpindahan dana. Ia juga menyebut adanya transfer uji coba dalam jumlah kecil sebelum transfer yang lebih besar. Rincian tersebut berasal dari penjelasan Chen; metode penyusupan secara spesifik masih diselidiki. Bitget menyatakan kunci privat tidak disusupi. 1729

Nilai kerugian yang dilaporkan berubah dari perkiraan awal US$351,6 juta menjadi US$387,5 juta setelah penelusuran on-chain mencakup aset tambahan. Menurut Bitget, angka baru itu merupakan penghitungan insiden yang lebih lengkap, bukan pencurian kedua. 30

Siapa yang diduga berada di balik serangan?

Chen mengatakan serangan tersebut memiliki ciri-ciri yang dikaitkan dengan operasi Korea Utara. Perusahaan analisis blockchain Elliptic menilai kaitan dengan Korea Utara sangat mungkin, dengan merujuk pada kemiripan pola dan tumpang tindih infrastruktur dengan aktivitas yang pernah dikaitkan dengan negara itu. Namun, laporan yang tersedia belum memastikan siapa pelaku serangan ini. 15

Penyelidikan terpisah menyoroti dugaan pihak-pihak yang membantu memindahkan hasil pencurian. Penyelidik on-chain ZachXBT menyebut lima akun terlibat dalam pencucian dana atas nama para penyerang yang dituduhkan. Ia melaporkan bahwa orang-orang yang menggunakan layanan terkait meminta bantuan menangani pesanan di server Discord dan kanal Telegram publik. Klaim ini merupakan temuan yang disampaikan penyelidik, bukan identifikasi resmi atas pelaku utama peretasan. 1038

Laporan yang mengutip penelusuran ZachXBT menyebut dana dipindahkan lintas blockchain melalui layanan bridge dan masuk ke layanan pencampur transaksi, termasuk Wasabi. Perpindahan seperti ini dapat mempersulit pelacakan, tetapi tidak dengan sendirinya membuktikan siapa yang memerintahkan pencurian atau mengungkap identitas seseorang. 1436

Dugaan kaitan dengan eksploitasi Kelp DAO

ZachXBT mengatakan satu akun yang diduga terlibat dalam pencucian dana terkait Bitget juga pernah terlihat menangani dana dari eksploitasi Kelp DAO senilai US$292 juta. Ini merupakan dugaan tumpang tindih pada akun yang memindahkan dana—bukan bukti bahwa orang yang sama melakukan kedua peretasan. 1038

Penyelidikan Bitget, perlindungan pengguna, dan penarikan

Bitget mengatakan telah melibatkan Mandiant dan SlowMist untuk membantu penyelidikan, serta bekerja sama dengan aparat penegak hukum untuk melacak aset yang dicuri. Bursa itu juga menyatakan Dana Perlindungan Pengguna akan menanggung kerugian, bukan saldo pelanggan. Chen mengatakan dana tersebut akan diisi kembali hingga sedikitnya US$300 juta dalam waktu sepekan. Pernyataan ini menggambarkan rencana dan jaminan Bitget, bukan konfirmasi bahwa aset curian telah ditemukan kembali. 117

Penarikan sempat dihentikan setelah insiden. Laporan pada 28 September menyebut Bitget mulai memulihkannya secara bertahap. Informasi yang tersedia belum memastikan apakah sebagian dana curian sudah berhasil dipulihkan. 731

Hal-hal yang belum dipastikan

Nilai transfer yang dilaporkan dan keterangan Bitget mengenai dugaan kompromi pada backend dompet lebih jelas dibandingkan atribusi pelaku maupun hasil pemulihan dana. Keterlibatan Korea Utara masih berupa penilaian, sedangkan klaim tentang perantara dan tumpang tindih dengan kasus Kelp DAO bersumber dari laporan penyelidikan blockchain. Cara pasti sistem disusupi dan hasil akhir upaya pemulihan masih belum diketahui. 52138