Peretas yang terkait dengan pembobolan bursa kripto Bitget senilai sekitar US$387,5 juta telah memindahkan sekitar 102 juta XRP curian yang bernilai sekitar US$157 juta dari dompet yang semula menampungnya. Sekitar US$75 juta dalam bentuk XRP dilaporkan masih tersisa di akun-akun asal. Kasus ini mencuat bukan sekadar karena perpindahan dana, melainkan karena Ripple tidak memiliki cara untuk membekukan koin tersebut, sebab XRP adalah aset native XRP Ledger dan bukan token yang diterbitkan oleh suatu penerbit.
Aliran Dana dari Dompet Peretas Bitget
Hampir 103 juta XRP diambil dari Bitget pada Kamis, 24 September, dan dibagi ke dalam lima akun. Dana tersebut meninggalkan tiga dari lima dompet yang pertama kali menampungnya. Hingga pukul 12:41 UTC pada Sabtu, 26 September, dua dompet yang masing-masing semula berisi 20 juta XRP tercatat hanya menyisakan sekitar 23 XRP dan 55 XRP, sementara dompet ketiga merosot menjadi sekitar 5,8 juta XRP.
Laju pengurasan dana bertambah cepat sepanjang malam. Pada pukul 04:32 UTC Sabtu, sekitar 70 juta XRP masih tersisa di akun-akun asal, lalu sekitar delapan jam kemudian saldonya turun menjadi sekitar 49 juta XRP. Satu upaya transfer sekitar 521.000 XRP gagal karena saldo tidak mencukupi, sebelum jumlah yang identik dikirim dari dompet berbeda sekitar satu jam setelahnya. Pola ini memperlihatkan transfer native XRP Ledger dan fungsi dompet eksternal yang bergerak langsung antaralamat yang dikuasai peretas.
Secara total, sekitar 54 juta XRP telah meninggalkan akun penampung awal, meskipun pergerakan tersebut menunjukkan distribusi dana, bukan likuidasi yang telah terkonfirmasi. Data Arkham mencatat pembobolan senilai US$350 juta yang melibatkan tujuh rantai berbeda dengan lima dompet yang dikompromikan, dan sejauh ini 26 alamat peretas telah dilabeli.
Mengapa Ripple Tidak Bisa Membekukan XRP
XRP adalah mata uang yang tertanam langsung di dalam XRP Ledger dan merupakan satu-satunya aset native di jaringan tersebut. Ledger memang memiliki fitur pembekuan, namun fitur itu hanya berlaku untuk token yang diterbitkan di atas jaringan melalui trust line. Karena itu, Ripple tidak memiliki cara untuk membekukan koin tersebut. Transparansi tidak berarti dana dapat dipulihkan begitu aset native XRP berada di dompet yang dikuasai penyerang.
Perbedaan ini membentuk gambaran pemulihan dana ke depan. Jika sebuah bursa menerima XRP curian, bursa tersebut dapat membatasi akun penerima dan memblokir penarikan, tetapi tidak bisa menyentuh koin itu selama masih berada di dompet yang dikuasai peretas di dalam ledger. XRP sendiri berada langsung di dalam akun yang tidak dapat dibekukan oleh satu pihak mana pun, termasuk Ripple. Artinya, perusahaan tidak memiliki cara bawaan untuk menghentikan peretas membelanjakan koin yang masih tersisa di dompet yang belum tersentuh.
Stablecoin bekerja dengan mekanisme yang berbeda. Circle dan Tether telah membekukan sekitar US$320.000 dalam bentuk USDC dan USDT yang terkait dengan insiden ini. Keduanya menggunakan kontrol blacklist yang tertanam pada token yang dikendalikan penerbitnya. XRP tidak memiliki penerbit semacam itu, sehingga tidak ada tuas serupa yang bisa digunakan. Pemulihan dana kini sangat bergantung pada ke mana XRP bergerak selanjutnya, dengan pertanyaan kunci apakah koin tersebut mendarat di bursa yang bersedia dan mampu mengunci akun penerimanya.
Bitget Tanggung Kerugian dan Lanjutkan Penarikan
Pada Jumat, 25 September, Bitget menaikkan estimasi total pencurian menjadi US$387,5 juta. Pembaruan itu menambahkan transfer Zcash dan TRON yang terlewat pada penghitungan pertama. Bursa menyatakan revisi tersebut mencerminkan penelusuran yang lebih lengkap, bukan serangan kedua. Bitget juga menyebut dana perlindungannya menutupi kerugian dan saldo pelanggan tidak terpengaruh.
Penarikan dana akan dilanjutkan secara bertahap, yaitu Bitcoin mulai 28 September, Ether mulai 29 September, USDT mulai 30 September, dan token lainnya mulai 2 Oktober. Bitget menyatakan kerentanan yang terlibat dalam insiden telah diidentifikasi dan diperbaiki, sementara tim keamanan dan teknis terus melakukan langkah tambahan.
XRP diperdagangkan di kisaran US$1,54 saat laporan ini dibuat, turun sekitar 4% dalam 24 jam namun masih naik sekitar 9% dalam sepekan. Kasus ini meninggalkan pelajaran struktural bagi pasar: pada jaringan dengan aset native tanpa penerbit, kecepatan publikasi data on-chain tidak otomatis berbanding lurus dengan kemampuan memulihkan dana, dan penegakan aturan hanya mungkin dilakukan ketika aset menyentuh titik yang dikendalikan pihak ketiga seperti bursa atau penerbit stablecoin.
