PeckShield mencatat 55 peretasan kripto besar sepanjang September dengan total kerugian mencapai $766,49 juta. Angka tersebut melonjak sekitar 462% dibandingkan Agustus yang sebesar $136,3 juta, dan hampir seluruh kerugian berasal dari dua insiden besar, yakni Bitget dan Liquid Network.
Dua Insiden Besar Dominasi Kerugian September
Insiden Bitget dengan nilai sekitar $387 juta dan pencurian di Liquid Network senilai sekitar $320 juta, di mana $285 juta di antaranya telah dikembalikan, kini menjadi pencurian kripto terbesar dan terbesar kedua sepanjang tahun ini. Menurut catatan PeckShield, kedua kasus itu telah melampaui eksploitasi Drift serta KelpDAO/LayerZero.
Namun jika kedua insiden tersebut dikeluarkan dari perhitungan, 53 peretasan lainnya hanya menambah sekitar $59 juta, atau kurang dari setengah total kerugian pada Agustus. Artinya, lonjakan kerugian September hampir sepenuhnya ditentukan oleh dua peristiwa besar tersebut.
Kronologi Serangan Bitget dan Liquid Network
Bitget: Proses Otorisasi Dikelabui
Bitget menyatakan sistem keamanannya mendeteksi transfer tidak sah dari sebagian hot wallet pada 18:31 UTC, 24 September. CEO Gracy Chen menjelaskan bahwa penyerang berhasil masuk ke sistem backend di infrastruktur wallet, memalsukan data transaksi, dan mengelabui proses otorisasi sehingga dana terlepas.
Chen menegaskan tidak ada kompromi pada private key dan cold wallet yang menyimpan sebagian besar aset bursa tidak tersentuh. Bursa berencana menutup kerugian tersebut melalui User Protection Fund yang nilainya lebih dari $464 juta. “Kami tidak akan lari dari ini, dan setiap dolar akan dipertanggungjawabkan,” tulis Chen di X.
Liquid Network: 4.000 BTC Ditarik dari Wallet Federasi
Kerugian di Liquid Network terjadi lebih awal, yaitu pada 6 September, ketika pihak yang mengaku peretas white-hat menarik sekitar 4.000 BTC dari wallet Liquid Federation. Penarikan tersebut menggunakan kunci otorisasi peg-out SideSwap, meskipun Liquid menyatakan kunci itu sendiri tidak dikompromikan.
Dalam pesan on-chain kepada Blockstream, peretas berjanji mengembalikan dana setelah setiap node ditambal. CTO Ledger, Charles Guillemet, meragukan klaim tersebut dan menilai peneliti keamanan yang sah umumnya tidak akan menguras sebuah bridge lalu meminta dihubungi secara on-chain.
Jejak Pencucian Dana dan Kerugian Insiden Lainnya
SlowMist dalam pembaruan 29 September menulis bahwa peretas yang terkait Korea Utara mencucikan dana curian Bitget dengan menggabungkan order CoW Protocol bersama alamat deposit Chainflip, mengonversi hasilnya menjadi BTC, lalu memakai CoinJoin untuk menyamarkan pergerakan dana. Pendiri SlowMist, Cos, menilai pemeriksaan anti-pencucian uang (AML) tertinggal dari skrip otomatis. Chainflip berupaya memblokir aliran dana tersebut dan setidaknya menolak satu deposit, tetapi mengembalikan uangnya alih-alih membekukannya.
Delapan entri lainnya dalam daftar 10 besar PeckShield berkisar dari $3,15 juta hingga $7,81 juta. Yang terbesar adalah front-run pada bot MEV bernama “yoink” yang dananya dikembalikan. Payment Processor V2, kontrak LimitBreak yang menjadi pusat penyelamatan white-hat pada 25 September, mencatatkan $6,6 juta dengan $3,4 juta dikembalikan. Dalam operasi itu, peneliti keamanan Quit memindahkan 23.155 NFT senilai hampir $6 juta dari wallet yang terekspos, sementara jalur eksploitasi terpisah meninggalkan 660 WETH yang tidak berhasil dipulihkan.
Pola September menunjukkan bahwa kerugian industri kini sangat bergantung pada sedikit insiden bernilai besar, sementara puluhan serangan lain berukuran jauh lebih kecil. Sebagian dana yang berhasil dikembalikan serta langkah bursa menutup kerugian lewat dana perlindungan pengguna menjadi sorotan, di tengah tantangan penegakan aturan anti-pencucian uang yang dinilai belum mampu mengimbangi kecepatan otomatisasi peretas.
