Pada 29 Oktober 2026 malam, dana keluar dari hot wallet Binance dalam jumlah yang belum pernah terjadi sebelumnya. Utas dari @zaxxxxx merangkum kronologinya menit per menit, lengkap dengan alamat dompet yang bisa diperiksa sendiri.
Intinya bukan bug yang dieksploitasi, melainkan sebuah fitur Ethereum yang dipakai dengan cara yang salah: EIP-7702.
Apa yang dibobol
Binance menyimpan kripto di dompet online besar yang dipakai untuk mengirim dana saat pengguna menarik saldo. Salah satu yang terbesar disebut Binance 14, dan isinya mencapai miliaran dolar.
Langkah 1: persiapan, 28 sampai 29 Oktober
Penyerang mengambil dana dari Tornado Cash, layanan pencampur yang menyembunyikan asal dana, sehingga identitasnya sulit dilacak.
Dana itu dipakai membayar biaya transaksi. Sebelum menyerang, dia menguji serangannya di tiga dompet miliknya sendiri untuk memastikan berhasil.
Pada 15.59 dia menyebarkan sweeper, program kecil yang dirancang mengosongkan dompet.
Langkah 2: serangan, 29 Oktober
Pukul 20.18, pencurian pertama justru bukan di Ethereum. Sebuah dompet Binance di OP Chain mengirim 44,23 juta token OP, sekitar 4,5 juta dolar.
Pukul 20.20, serangan utama dimulai. Dia mengambil kendali Binance 14 memakai EIP-7702, fitur Ethereum yang memungkinkan sebuah dompet menjalankan kode dari luar.
Caranya: dia mengirim 50 persetujuan yang ditandatangani dengan kunci Binance 14 sendiri. Hanya satu yang berhasil, dan satu itu sudah cukup untuk membuat dompet Binance menjalankan sweeper miliknya.
Langkah 3: dompet dikosongkan
Pukul 20.24, 167.464 ETH dan 1,615 miliar USDT keluar. Berikutnya 780 juta USDC pukul 20.41, 43 juta USDC pukul 20.59, lalu 1.699,9 ETH pukul 21.04.
Pukul 21.44 keluar lagi 369,8 ETH dan 200,4 juta USDT, disusul 128,5 ETH pukul 22.39. Semuanya mengalir ke satu dompet utama penyerang.
Langkah 4: dompet Binance lain ikut mengirim
Bagian ini yang paling mengkhawatirkan. Tiga dompet Binance lain juga mengirim dana kepadanya lewat transaksi biasa, tanpa trik apa pun.
Binance 16 mengirim 28.005,6 ETH pukul 20.24. Dompet Binance di OP mengirim 44,23 juta OP pukul 20.18, dan dompet Binance di Polygon mengirim 6,19 juta USDT0 pukul 23.05.
Transaksi biasa tetap butuh persetujuan dari Binance sendiri. Artinya, penyerang kemungkinan punya akses ke sistem penandatanganan Binance, bukan cuma ke satu dompet.
Langkah 5: Binance justru terus mengisi dompet yang sudah dibobol
Binance tidak menyadarinya selama berjam-jam. Uang terus masuk ke Binance 14 dan langsung diambil penyerang.
Pukul 21.42, Binance 124 mengirim 200 juta USDT ke dompet itu, dan 72 detik kemudian dananya sudah diambil. Pukul 23.55 ada deposit 2.961,99 ETH, diambil 60 detik kemudian.
Langkah 6: Binance melawan
Pukul 21.01, Tether membekukan dompet utama penyerang. Pukul 22.06, Tether juga membekukan Binance 14.
Pukul 23.07, Binance mulai memindahkan token ke tempat aman lewat 45 transfer. Baru pada 00.10 tanggal 30 Oktober, atau 3 jam 49 menit setelah serangan dimulai, akses penyerang diputus.
Circle juga membekukan USDC yang ada di dompet penyerang.
Langkah 7: posisi dana sekarang
Sekitar 2 miliar dolar tertahan dan beku di dompet utamanya, terdiri dari 1,175 miliar USDT dan 823 juta USDC. Dana sebesar itu tidak bisa dia pindahkan.
Sisanya berupa Ether, yang tidak bisa dibekukan oleh penerbit mana pun. Ada 197.460 ETH di satu dompet, 40.601 ETH di dompet lain hasil penjualan token curian seperti AAVE, WLD, RSR, dan MORPHO, serta 17.260 ETH di dompet ketiga.
Totalnya dia masih memegang lebih dari 255.000 ETH.
Alamat yang bisa dicek sendiri
Utasnya juga memuat daftar alamat. Dompet penyerang: 0x7C8601d4645b93cea45F71e118A729332e6B5CA0. Dompet pembayar biaya yang didanai Tornado: 0xe4F9070e1316de2988fc6f869feaD8fb99cC74cd.
Program sweeper: 0x63e842B054Bd624a465454D533C33F573e9c6fAe. Dompet utama penyerang yang dibekukan: 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c.
Dompet Binance yang kehilangan dana:
- Binance 14 di 0x28C6c06298d514Db089934071355E5743bf21d60
- Binance 16 di 0xDFd5293D8e347dFe59E90eFd55b2956a1343963d
- Binance di OP Chain di 0xacD03D601e5bB1B275Bb94076fF46ED9D753435A
- Binance di Polygon di 0xe7804c37c13166fF0b37F5aE0BB07A3aEbb6e245.
Konteks dan verifikasi
Kejadian ini bukan klaim sepihak. Binance sendiri memperkirakan kerugian sekitar 6,3 miliar dolar dan menyebut akan menanggung seluruh kerugian lewat dana SAFU. Investigasi awalnya mengarah ke laptop seorang engineer DevOps yang terkompromi, dan Binance menyatakan tidak ada bukti kebocoran private key.
TRM Labs menghitung 6,36 miliar dolar dan menyebutnya sebagai pencurian kripto terbesar dalam sejarah. Elliptic menghitung 6,43 miliar dolar dengan sekitar 2,84 miliar di antaranya sudah dibekukan.
Soal pelakunya, TRM Labs dan Elliptic menyebut kelompok yang terkait Korea Utara, TraderTraitor, dengan keyakinan tinggi. Metodenya sejalan dengan serangan Bitget sebelumnya.
Angka di utas ini adalah hitungan penulisnya sendiri, jadi bisa berbeda tipis dengan hitungan firma analitik. Yang tidak berbeda adalah polanya: pengambilalihan lewat EIP-7702, lalu dana dikejar dan dibekukan penerbit stablecoin.
Ringkasan
Binance kehilangan sekitar 6,3 miliar dolar dalam hitungan jam pada 29 Oktober 2026. Penyerang memakai EIP-7702 untuk membuat hot wallet Binance 14 menjalankan kodenya sendiri, lalu mengosongkan dompet itu dan memanfaatkan akses ke sistem penandatanganan untuk memindahkan dana dari beberapa dompet lain. Sekitar 3 miliar dolar berhasil dibekukan lewat Tether, Circle, dan pihak lain, sementara lebih dari 255.000 ETH masih dipegang penyerang karena tidak bisa dibekukan.
