Pendiri OneKey, Yishi Wang, mengangkat kemungkinan risiko keamanan bagi iShares Bitcoin Trust (IBIT) milik BlackRock setelah lebih dari US$6 miliar dicuri dari Binance pada 29 Oktober 2026. Kekhawatirannya: kumpulan Bitcoin dalam jumlah besar dan sistem yang menyetujui transaksi bisa menarik perhatian penyerang. Namun, pernyataan itu bukan bukti bahwa IBIT atau kustodiannya telah dibobol, ataupun bahwa serangan sedang berlangsung.
1
20
24
Apa yang memicu peringatan Wang?
Pada 31 Oktober, FBI menyatakan Korea Utara bertanggung jawab atas pencurian dari Binance dan menyebut aktivitas siber tersebut TraderTraitor. FBI juga mengatakan aset yang dicuri terpantau terutama dikonversi menjadi Ethereum.
1 Sejumlah laporan menghubungkan kelompok yang sama dengan pencurian sekitar US$1,5 miliar dari platform Bybit sebelumnya.
6
8
Binance dilaporkan mengaitkan insiden itu dengan laptop seorang insinyur DevOps yang telah disusupi. Informasi tersebut menggambarkan jalur akses yang dilaporkan, tetapi tidak dengan sendirinya menjelaskan seluruh rangkaian pencurian.
4 Kekhawatiran Wang lebih luas: penyerang mungkin bisa menyusupi proses persetujuan atau penandatanganan transaksi tanpa mencuri kunci privat secara langsung. Itu adalah risiko yang ia kemukakan, bukan temuan bahwa sistem IBIT memiliki celah serupa.
24
Pemulihan layanan Binance juga perlu dibedakan dari pemulihan aset yang dicuri. Binance mulai membuka kembali penarikan sejumlah aset secara bertahap pada 1 November.
5 Beberapa laporan menyebut sekitar 90% nilai aset yang dicuri telah diganti, sementara pemberitaan lain mencantumkan angka 95%. Perbedaan angka tersebut belum menetapkan jumlah akhir pemulihan yang diverifikasi secara independen.
45
51
Mengapa skala IBIT dan kustodiannya jadi sorotan?
Laporan menyebut IBIT memegang sekitar 815.000 BTC, senilai kurang lebih US$62 miliar hingga US$63 miliar, dengan Coinbase sebagai kustodian Bitcoin utamanya.
17
20
22 Jika terjadi pencurian sebesar US$6 miliar, nilainya kira-kira setara sepersepuluh dari aset yang dilaporkan. Perbandingan ini menggambarkan besarnya potensi eksposur, bukan berarti kerugian sebesar itu kemungkinan terjadi atau penyerang telah memilih IBIT sebagai sasaran.
Anchorage Digital juga telah ditunjuk sebagai kustodian tambahan. Namun, laporan menyebut belum ada rencana untuk memindahkan Bitcoin dari Coinbase ke Anchorage. Penunjukan kustodian tambahan saja tidak membuktikan bahwa aset yang ada sudah dibagi di antara kedua penyedia.
20
22
Apa yang sebaiknya disimpulkan pemegang saham?
Pencurian besar dapat menimbulkan kerugian jika aset tidak berhasil dipulihkan dan perlindungan asuransi atau kompensasi kustodian tidak menutup kekurangannya. Laporan yang mengutip Wang menyebut BlackRock tidak mengasuransikan Bitcoin IBIT secara terpisah.
22 Namun, informasi yang tersedia di sini tidak menjelaskan seluruh ketentuan asuransi, pengecualian, ataupun cara batas tanggung jawab akan diterapkan dalam insiden tertentu. Karena itu, ketentuan tersebut tidak bisa dianggap sebagai jaminan perlindungan penuh—atau sebagai bukti bahwa kerugian pasti ditanggung pemegang saham.
Yang paling penting, bukti yang tersedia mendukung peringatan mengenai kemungkinan risiko, bukan ancaman yang sudah terkonfirmasi. Laporan tentang komentar Wang menyebut ia tidak memberikan bukti adanya upaya aktif terhadap IBIT; materi yang tersedia juga tidak menunjukkan bahwa IBIT atau sistem kustodi Coinbase telah dibobol.
20 Pencurian di Binance menjadi konteks kekhawatirannya, tetapi tidak membuktikan spekulasinya tentang calon sasaran.