Bitget Kehilangan Rp6,97 Triliun dalam Serangan Siber

JAKARTA – Bitget diretas dengan kerugian aset kripto yang kini diperkirakan mencapai US$387,5 juta atau sekitar Rp6,97 triliun. Serangan pada 24 September 2026 tersebut mengeksploitasi sistem backend pada infrastruktur dompet Bitget sehingga mekanisme otorisasi internal menyetujui transfer yang tidak sah. CEO Bitget, Gracy Chen, mengatakan bukti awal menunjukkan keterkaitan dengan kelompok peretas Korea Utara.

Bitget awalnya memperkirakan nilai aset yang terdampak mencapai US$351,6 juta. Setelah pemeriksaan lebih lanjut, perusahaan menaikkan estimasi menjadi sekitar US$387,5 juta. Bitget menegaskan kenaikan tersebut berasal dari pencatatan yang lebih lengkap atas transaksi, termasuk aset di jaringan Zcash dan TRON, bukan akibat adanya pencurian tambahan setelah serangan berhasil dihentikan.

Serangan terdeteksi sekitar pukul 18.31 UTC pada 24 September ketika sistem keamanan Bitget menemukan transfer tidak sah dari sebagian infrastruktur dompet panas dan dompet hangat. Tim keamanan kemudian mengaktifkan prosedur tanggap darurat dan melakukan penyelidikan terhadap jalur serangan.

Menurut hasil penyelidikan awal Bitget, pelaku tidak perlu mencuri kunci privat untuk memindahkan aset. Mereka justru berhasil menyusupi sistem backend penting dalam infrastruktur dompet, kemudian memalsukan data transaksi sehingga sistem otorisasi internal menganggap transfer tersebut sah.

Dengan cara tersebut, mekanisme otomatis Bitget memberikan persetujuan terhadap sejumlah penarikan yang sebenarnya tidak diotorisasi. Bitget mengatakan kerentanan yang digunakan dalam serangan telah ditemukan dan diperbaiki, sementara penyelidikan forensik masih berlangsung bersama perusahaan keamanan siber Mandiant dan SlowMist.

Serangan tersebut berdampak pada sejumlah jaringan blockchain. Aset yang terdampak mencakup Ethereum, XRP, USDT, USDC, USDT0, XAUt, BNB, Avalanche, TRON, dan Zcash. Pelacakan oleh perusahaan keamanan blockchain juga menunjukkan sebagian aset yang dicuri kemudian ditukar dan dipindahkan melalui sejumlah layanan kripto.

Bitget menyatakan dompet dingin atau penyimpanan luring tetap aman selama insiden. Perusahaan juga mengatakan saldo akun pengguna tidak berkurang akibat serangan tersebut. Kerugian akan ditanggung melalui User Protection Fund milik Bitget yang nilainya disebut lebih dari US$464 juta atau sekitar Rp8,34 triliun.

Meski demikian, Bitget untuk sementara menghentikan penarikan aset kripto setelah serangan. Setoran dan aktivitas perdagangan tetap berjalan, sementara perusahaan melakukan pemeriksaan keamanan dan memperkuat sistem backend yang digunakan dalam proses penandatanganan transaksi. Bitget kemudian mengumumkan pemulihan penarikan secara bertahap mulai 28 September 2026.

Keterlibatan Korea Utara dalam serangan tersebut masih merupakan hasil atribusi awal, bukan fakta yang telah ditetapkan secara independen melalui proses hukum. Gracy Chen mengatakan tim keamanan Bitget menemukan alamat IP, pola perilaku, dan jejak transaksi yang memiliki kemiripan dengan operasi peretasan yang sebelumnya dikaitkan dengan kelompok Korea Utara.

Perusahaan analitik blockchain Elliptic juga menilai serangan tersebut sangat mungkin terkait dengan Korea Utara. Analisisnya antara lain melihat keterkaitan transaksi aset hasil serangan Bitget dengan alamat yang sebelumnya dikaitkan dengan pencurian kripto yang diatribusikan kepada Korea Utara.

TechCrunch sebelumnya melaporkan bahwa Bitget pada awalnya menjadi korban pencurian kripto terbesar yang diketahui sepanjang 2026, ketika nilai kerugian masih diperkirakan US$351 juta. Laporan tersebut juga mengutip TRM Labs yang menyebut kelompok Korea Utara bertanggung jawab atas sekitar tiga perempat nilai kripto yang dicuri sepanjang 2026 hingga saat laporan dibuat.

Selain penyelidikan internal, Bitget mendapatkan bantuan dari sejumlah perusahaan dan pelaku industri kripto untuk melacak aset yang dicuri. CEO Bybit, Ben Zhou, menawarkan akses ke platform LazarusBounty untuk membantu pelacakan dana, sementara Bitget juga meluncurkan program imbalan pemulihan bagi pihak yang membantu membekukan atau mengembalikan aset hasil serangan.

Bitget mengatakan investigasi dan proses pelacakan dana masih berlangsung. Karena itu, nilai kerugian maupun rincian aliran aset masih dapat diperbarui apabila pemeriksaan lebih lanjut menemukan transaksi yang relevan.

Dengan nilai sekitar US$387,5 juta, atau Rp6,97 triliun berdasarkan kurs Rp17.987,49 per dolar AS, insiden tersebut menjadi salah satu serangan terbesar terhadap bursa kripto pada 2026. Namun, Bitget menyatakan kerugian tersebut tidak akan mengurangi saldo pengguna karena perusahaan menggunakan dana perlindungan internal untuk menanggung aset yang terdampak.