Kronologi Serangan dan Skala Kerugian
Menurut Kompas, peretasan terjadi pada malam 29 Oktober 2026. Dalam hitungan menit, dompet Binance di sejumlah jaringan blockchain, termasuk Ethereum, Bitcoin, Tron, XRP Ledger, dan Solana, mengirim saldo ke alamat yang dikendalikan satu penyerang.
Gelombang kedua sekitar pukul 23.05 UTC menyasar dompet di jaringan Avalanche dan Polygon.
Perusahaan analisis blockchain TRM Labs mencatat total aset yang berpindah dari dompet Binance di sepuluh blockchain mencapai sekitar US$6,36 miliar (setara Rp 115 triliun pada kurs saat ini) bila dihitung dengan harga saat aset diambil. Pada harga terkini, nilai aset yang sama sekitar US$6,23 miliar.
Ethereum menyumbang porsi terbesar, sekitar US$3,79 miliar, termasuk 200.630 ETH dan 185 token lain. Arus keluar Bitcoin tercatat 18.270 BTC atau sekitar US$1,47 miliar, sedangkan Tron kehilangan 612,7 juta USDT dan 46,4 juta TRX senilai sekitar US$628 juta.
TRM Labs menyebut ini sebagai pencurian kripto terbesar yang pernah tercatat, sekitar empat kali lipat peretasan Bybit senilai US$1,5 miliar pada Februari 2025.
Sejumlah laporan menyebut serangan berlangsung singkat, sekitar 20 menit, dengan dugaan penyalahgunaan sistem otorisasi transaksi. Hot wallet (dompet digital yang terhubung internet untuk memproses penarikan nasabah) menjadi sasaran utama.
Bagaimana Peretas Menembus Sistem Binance
TRM Labs menilai persiapan serangan dimulai setidaknya 36 jam sebelum pencurian. Dompet operator penyerang menerima tiga penarikan kecil dari Tornado Cash, layanan yang menyamarkan asal dana kripto, mulai pagi 28 Oktober.
Kode serangan lalu diuji pada dua dompet, direkayasa ulang pada dompet ketiga, dan empat jam setelah uji coba dipasang di hot wallet Binance.
Pada 20.20 UTC, operator mengirim satu transaksi berisi 50 otorisasi yang masing-masing ditandatangani hot wallet Binance dan mengarahkannya ke sweeper contract, yaitu kontrak pintar yang hanya menerima instruksi dari operator.
Karena setiap dompet memiliki nonce (hitungan transaksi berjalan) yang terus bergerak akibat arus penarikan, penyerang menyiapkan tanda tangan untuk 50 hitungan berurutan agar satu di antaranya tetap valid saat transaksi dieksekusi.
Tiga menit 24 detik kemudian, hot wallet Binance diperintahkan mengirim seluruh saldonya ke alamat penyerang. Satu transaksi itu memindahkan 167.464 ETH dan 63 token, termasuk 1,615 miliar USDT. Delegasi tetap berlaku sehingga dana baru yang masuk kembali disapu pada 20.41, 20.59, 21.04, 21.44, 22.39, dan 23.56 UTC.
Co-CEO Binance Richard Teng menyatakan pelaku memanipulasi sistem persetujuan sehingga aset berpindah tanpa prosedur normal. Investigasi awal mengarah pada dugaan penyusupan laptop teknisi DevOps, dan investigasi lanjutan menemukan titik pelanggaran tambahan.
Binance menyebut serangan itu kompleks dan menyatakan berkoordinasi dengan aparat penegak hukum.
Pembekuan Aset dan Komitmen Ganti Rugi
Penerbit stablecoin bergerak cepat membekukan aset terkait. Tether, Circle, Ripple, dan World Liberty Financial membekukan sekitar US$2,67 miliar stablecoin, sementara Dewan Keamanan Arbitrum membekukan sekitar US$30 juta ETH dan ARB. Totalnya sekitar US$2,7 miliar.
Meski demikian, TRM Labs mencatat penyerang masih menguasai lebih dari 420.000 ETH dan 18.270 BTC senilai sekitar US$2,4 miliar, ditambah aset lebih kecil di jaringan lain.
Di sisi korban, Binance menyiapkan dana internal US$6,34 miliar untuk mengompensasi aset nasabah yang hilang, serta memiliki dana cadangan Secure Asset Fund for Users (SAFU) senilai US$1 miliar untuk keadaan darurat.
Richard Teng menegaskan perusahaan menanggung setiap kerugian. “Uang Anda aman dan kami menanggung setiap kerugian,” tulisnya melalui akun X.
Binance juga membuka kembali layanan penarikan secara bertahap dengan memprioritaskan permintaan pengguna. Tahap pertama mencakup 15 token, termasuk Bitcoin, Ether, stablecoin USDC dan USDT, serta Dogecoin.
Perusahaan menyatakan penarikan mulai stabil setelah sempat melonjak, sementara volume setoran masih tergolong besar. Investor sempat menarik dana hingga US$3,64 miliar atau Rp65,98 triliun dengan kurs Rp18.127, setara 2,1 persen dari total aset mereka.
Respons OJK dan Aturan 70-30
Kepala Eksekutif Pengawas Inovasi Teknologi Sektor Keuangan, Aset Keuangan Digital, dan Aset Kripto OJK Adi Budiarso menyampaikan pernyataan tersebut dalam konferensi pers daring di Jakarta, Kamis, 5 November 2026. Menurutnya, Binance adalah salah satu bursa global sehingga potensi dampaknya terhadap industri aset kripto di Indonesia perlu dicermati.
Adi menilai insiden ini menunjukkan pentingnya penguatan tata kelola teknologi informasi, pengendalian akses, peningkatan kompetensi sumber daya manusia, serta efektivitas sistem pengawasan dan pengendalian internal.
Seluruh penyelenggara perdagangan aset keuangan digital berizin, mulai dari bursa, lembaga kliring, kustodian, hingga Pedagang Aset Keuangan Digital (PAKD), wajib menerapkan manajemen risiko dan ketahanan siber yang memadai.
Sebelumnya, kepada Kompas pada Sabtu, 31 Oktober 2026, Adi menyatakan dampak internal belum terasa di ekosistem Indonesia dan belum ada laporan dampak peretasan Binance. Platform perdagangan kripto terbesar di Indonesia yang berafiliasi dengan Binance adalah TokoCrypto, dan sejauh ini tidak ada laporan kerugian langsung investor Indonesia di platform tersebut.
Indonesia memiliki dua bursa kripto berizin yang diawasi OJK, yaitu CFX (PT Central Financial X) dan ICEX (Indonesia Crypto Exchange). Keamanan aset kripto diatur dalam Undang-Undang Nomor 4 Tahun 2023 tentang Pengembangan dan Penguatan Sektor Keuangan (P2SK), yang diubah UU 4/2026 dan berlaku 17 Juni 2026.
Setiap bursa wajib menerapkan skema 70-30: 70 persen aset disimpan di lembaga kustodian, sedangkan 30 persen dapat ditempatkan di lembaga kliring atau disimpan pedagang. Adi menyebut aturan ini setara dengan pasar modal, di mana KSEI mengelola penyimpanan dan KPEI melakukan kliring transaksi di Bursa Efek Indonesia.
Hanya 30 persen aset yang berada di bursa agar mudah ditransaksikan, sementara 70 persen di kustodian disebut cold wallet karena memberi pemilik kendali lebih langsung atas asetnya.
Adi menegaskan OJK akan terus mengawasi tata kelola platform aset keuangan digital di Indonesia. Jika ada warga yang berinvestasi langsung di Binance, OJK tidak dapat mengambil tindakan karena Binance tidak mematuhi regulasi Indonesia dan pedagang yang tidak terdaftar di OJK dianggap ilegal.
Kejanggalan dapat dilaporkan ke hotline 157 yang ditangani Indonesia Anti-Scam Center lintas sektor, dan perusahaan keuangan digital yang melanggar aturan dapat dikenai sanksi hingga pencabutan izin.
Sinyal bagi Pasar dan Investor Pemula
Insiden ini sempat mengguncang pasar aset digital. Harga bitcoin menyentuh level terendah dalam enam minggu, sedangkan ether melemah lebih dari 3 persen sebelum pasar mulai stabil. Aravind Srinivasan dari perusahaan perdagangan aset kripto GSR menilai besarnya pencurian menjadi pukulan serius bagi industri. “Ini adalah peretasan terbesar dalam sejarah,” ujarnya.
Sejumlah analisis mengaitkan serangan dengan kelompok peretas yang beroperasi untuk Korea Utara. TRM Labs mengatribusikan serangan kepada TraderTraitor, unit peretas utama Korea Utara, berdasarkan intelijen on-chain dan off-chain.
FBI menamai kelompok yang sama sebagai pihak di balik peretasan Bybit pada Februari 2025. Elliptic juga mengaitkan serangan dengan kelompok terkait Korea Utara, meski Binance belum mengonfirmasi identitas pelaku.
TRM Labs memperkirakan tahap berikutnya melibatkan jembatan lintas rantai, layanan swap, dan broker over-the-counter. Perusahaan itu menyarankan bursa dan tim kepatuhan menyaring setoran serta mitra transaksi terhadap alamat penyerang yang telah dilabeli, karena dana dari peel chain Bitcoin dan dompet konsolidasi ETH kemungkinan mencapai bursa, layanan swap, dan meja OTC dalam beberapa hari ke depan.
TRM juga menyarankan tim treasury memantau dompet kompatibel Ethereum terhadap delegasi EIP-7702, yaitu mekanisme yang memungkinkan dompet biasa menjalankan kode kontrak pintar melalui tanda tangan otorisasi.
Delegasi semacam itu tampak sebagai kode di alamat yang seharusnya tidak memilikinya dan perlu memicu peringatan segera. Kebijakan penandatanganan juga disarankan menolak otorisasi EIP-7702 yang tidak diharapkan, terutama bila ada permintaan banyak otorisasi lintas rentang hitungan transaksi.
Di Indonesia, pesan OJK tetap sama: kepercayaan masyarakat menjadi fondasi utama pertumbuhan industri aset keuangan digital. Investor diminta tenang, waspada, menjaga kerahasiaan kredensial, dan memahami berbagai risiko penyimpanan aset sebelum bertransaksi.