Bitget melaporkan telah mendeteksi transfer tidak sah dari sebagian hot wallet miliknya pada 24 September pukul 18:31 UTC, dengan aset yang terdampak mencapai sekitar US$351,6 juta. Bursa kripto tersebut menyatakan seluruh kerugian ditanggung oleh User Protection Fund miliknya, sehingga saldo pengguna tetap utuh meski penarikan dana dihentikan sementara selama proses peninjauan insiden.
Kronologi Insiden Menurut Bitget
CEO Bitget Gracy Chen menjelaskan bahwa perusahaannya menjalankan sistem dompet tiga lapis, dan peretasan kali ini hanya menyentuh sebagian lapisan hot wallet serta warm wallet. Cold wallet, yang menyimpan sebagian besar aset bursa, tidak terdampak. Menurut Bitget, protokol darurat tim keamanan langsung aktif dalam hitungan menit setelah deteksi dan melaporkan alamat-alamat yang terkait dengan transfer tidak wajar tersebut.
User Protection Fund milik bursa saat ini menampung dana lebih dari US$464 juta, jauh di atas kekurangan sebesar US$351,6 juta, dan Bitget berencana menggunakannya untuk menutup seluruh kerugian. “Kami tidak akan menghindar dari ini, dan setiap dolar akan dipertanggungjawabkan,” tulis Chen dalam pembaruan yang diposting di X. Ia menambahkan bahwa laporan insiden lengkap, yang mencakup akar penyebab dan langkah perbaikan, akan menyusul dalam 24 jam setelah pemberitahuan awal.
Bitget menyatakan penyerang berhasil masuk ke sistem backend di dalam infrastruktur wallet-nya, menggunakannya untuk memalsukan data transaksi, dan menipu proses otorisasi bursa sehingga dana terlepas. Chen menepis kemungkinan kompromi private key, yang mempersempit penyebab masalah, dan menyatakan bahwa upaya penanganan sudah terkonfirmasi sehingga tidak ada lagi transfer tidak sah yang mungkin terjadi.
Dugaan Keterlibatan Lazarus Group
Penyelidik on-chain Specter mengklaim bahwa Lazarus Group, kelompok yang dikaitkan dengan Korea Utara, berada di balik serangan ini. Klaim tersebut didukung oleh analis Conor Grogan. “Umumnya mereka melakukan hal seperti ini di akhir pekan, tetapi mungkin mereka punya jendela waktu terbatas untuk eksploitasi dan tidak ingin mengambil risiko,” tulis Grogan.
Insiden ini menambah panjang rangkaian eksploitasi di sektor kripto. Sepanjang paruh pertama tahun ini, US$1,1 miliar dicuri dalam 212 insiden, dan lebih dari separuhnya dilacak kembali ke Lazarus Group.
Dampak dan Prospek ke Depan
Dengan penarikan yang masih dijeda sementara, perhatian publik kini tertuju pada laporan insiden lengkap yang dijanjikan Bitget dalam 24 jam, termasuk akar penyebab dan langkah korektif yang akan diambil. Jaminan bahwa seluruh kerugian ditanggung User Protection Fund menjadi penopang utama kepercayaan pengguna di tengah proses peninjauan yang masih berjalan.
Serangan terhadap Bitget juga menegaskan kembali pola yang tercatat sepanjang tahun ini, ketika eksploitasi terhadap platform kripto terus terjadi dan sebagian besar di antaranya dikaitkan dengan aktor yang sama. Perkembangan laporan resmi bursa akan menentukan sejauh mana insiden ini berdampak pada kepercayaan pengguna dan industri secara lebih luas.
