Binance Memerinci Wawancara Kerja Palsu dan Kompromi Alat AI dalam Peretasan

Dalam temuan awal yang diterbitkan pada 3 November 2026, Binance menyatakan bahwa wawancara rekrutmen palsu, perangkat lunak pengembang berbahaya, dan alat AI internal yang telah dikompromikan mendahului pencurian aset digital senilai sekitar US$6,34 miliar pada 29 Oktober 2026.

Bursa tersebut akan menanggung dampak finansialnya, bukan membebankannya kepada pengguna. Binance melaporkan telah menyisihkan dana lebih dari 100% jumlah yang diperlukan untuk menutup kerugian, memulihkan 98% aset token yang terdampak per 31 Oktober 2026, serta membekukan atau mencegat aset senilai sekitar US$2,85 miliar, dengan angka yang masih harus direkonsiliasi dan bergantung pada volatilitas harga pasar. Binance sedang membeli aset tersisa yang likuiditasnya lebih rendah.

Halaman Bukti Cadangan yang dirujuk terkait pemulihan tersebut menjelaskan bahwa aset pengguna yang disimpan Binance didukung dengan rasio 1:1. Halaman itu menggunakan catatan pohon Merkle dan bukti zk-SNARK agar pengguna dapat memverifikasi bahwa saldo mereka tercantum dalam laporan kewajiban.

Temuan ini masih bersifat awal. Investigasi masih berlangsung, peninjauan independen belum dilakukan, dan Binance menahan sejumlah detail teknis agar tidak membantu pelaku kejahatan merencanakan serangan.

Akses Berbulan-bulan Sebelum Serangan terhadap Dompet

Pada Juni 2026, seorang insinyur DevOps dompet mengunduh instalasi Homebrew yang telah dimodifikasi saat mencoba memasang alat pemrograman AI populer yang ditemukan melalui mesin pencari. Binance mendeteksi anomali tersebut, mengganti perangkat dan merotasi kredensial terkait. Namun, peran insinyur itu dan rekan-rekannya dalam tim infrastruktur dompet sudah terpapar kepada penyerang.

Pada September 2026, seorang insinyur perangkat lunak lainnya dihubungi melalui platform pencarian kerja yang sah oleh seseorang yang mengaku sebagai direktur proyek. Wawancara video langsung dengan seseorang yang mengaku sebagai perwakilan sumber daya manusia disusul wawancara kedua di aplikasi obrolan sosial populer dengan seseorang yang mengaku sebagai CEO sebuah perusahaan fiktif. Menjelang akhir wawancara, insinyur itu diminta mengunduh tugas yang berisi repositori kode berbahaya ke komputer kerja. Kode di dalamnya dijalankan saat proses penyiapan.

Malware tersebut menggantikan komponen pyenv yang sah dengan versi berbahaya dan berkomunikasi dengan server yang dikendalikan penyerang. Binance mengatakan bahwa perlindungan titik akhir tidak mendeteksi malware zero-day itu pada saat kejadian, sementara penyerang berupaya menyamarkan aktivitasnya dan menghapus jejak kompromi.

Pada 20 Oktober 2026, penyerang menggunakan komputer insinyur kedua yang telah dikompromikan dan alat AI internal untuk memperluas kendalinya ke insinyur DevOps yang pertama serta seorang insinyur perangkat lunak dompet lainnya. Token izin untuk penerapan kontainer kemudian ditemukan di komputer insinyur DevOps tersebut. Antara pukul 17.15 dan 19.56 UTC pada 29 Oktober, penyerang masuk ke komputer insinyur ketiga, menggunakan kredensial yang dicuri dari insinyur DevOps, menerapkan sebuah kontainer, dan memicu skrip berbahaya yang melancarkan serangan terhadap dompet.

Otorisasi On-Chain Memperumit Upaya Pembatasan Dampak

Penyerang menggunakan akses tanpa izin ke layanan penandatanganan dompet internal untuk memulai transaksi di luar proses penarikan normal Binance. Antara pukul 20.05 dan 20.09 UTC, lima dompet panas Binance mengirim 233,46 juta XRP ke alamat yang dikendalikan penyerang. Arus keluar berikutnya berasal dari dompet panas Solana dan Optimism, dan sebuah dompet panas Binance mengirim 18.270 Bitcoin ke alamat yang dikendalikan penyerang.

Penyerang juga mengeksploitasi mekanisme otorisasi EIP-7702 milik Ethereum, yang memungkinkan sebuah akun mendelegasikan hak eksekusi tertentu kepada kontrak pintar tanpa mengungkap kunci privatnya. Sebanyak 50 transaksi penandatanganan memanipulasi nonce akun dan menetapkan otorisasi delegasi berbahaya, sehingga kontrak yang dikendalikan penyerang memperoleh sebagian hak eksekusi atas sebuah dompet panas Binance. Otorisasi tersebut memungkinkan aset terus berpindah secara terpisah dari infrastruktur penarikan bursa.

Akibatnya, penangguhan penarikan dan penonaktifan layanan dompet panas tidak membatalkan izin on-chain yang sudah ada. Karena dompet tersebut menggunakan komputasi multipihak, tidak ada satu kunci privat yang dapat digunakan untuk segera mencabut izin, sehingga diperlukan prosedur khusus yang memakan waktu tambahan. Transfer tanpa izin terakhir sebesar 2.961,9 Ether diselesaikan secara on-chain pada pukul 23.56 UTC setelah sebelumnya tertunda; setelah itu, tidak ada transfer tanpa izin lain yang teramati. Pada pukul 00.10 UTC tanggal 30 Oktober 2026, Binance menjalankan otorisasi baru dari dompet panas Binance14 ke alamat nol, sehingga kode delegasi berbahaya terhapus.

Sistem Dibangun Ulang dan Atribusi Terpisah oleh FBI

Hingga 3 November, Binance telah membangun ulang sistem dompet yang terdampak di lingkungan baru, serta membangun ulang alat AI internal yang terdampak beserta kontrol aksesnya. Binance juga mengganti perangkat yang terdampak, menonaktifkan kredensial dan token terkait, menyelesaikan pemindaian menyeluruh yang ditingkatkan pada perangkat karyawan, memperluas deteksi anomali perilaku berbasis AI, dan memperkuat kontrol risiko layanan dompet.

Para pakar keamanan siber independen dari pihak ketiga tengah dilibatkan untuk memvalidasi temuan dan merekomendasikan langkah tambahan. Binance meningkatkan investasi dalam deteksi berbasis AI, perlindungan titik akhir, keamanan lingkungan pengembangan, dan pemantauan perilaku. Binance juga berupaya membentuk dana riset keamanan serta meluncurkan inisiatif terarah bersama perusahaan AI, pelaku industri, dan perusahaan keamanan yang berfokus pada keamanan AI di lingkungan rantai blok.

Dalam pemberitahuan tertanggal 31 Oktober 2026 yang terpisah, FBI menyatakan bahwa pelaku TraderTraitor asal Korea Utara bertanggung jawab, bahwa FBI dan mitranya di USSS dan IRS-CI mengamati mereka mengonversi aset curian terutama menjadi Ether, dan bahwa pencucian lebih lanjut diperkirakan akan dilakukan melalui layanan DeFi dan swap instan. Lembaga-lembaga tersebut mendesak operator node, bursa, layanan DeFi, perusahaan analitik rantai blok, serta penyedia aset virtual lainnya untuk memblokir transaksi yang melibatkan atau berasal dari alamat yang tercantum.

Laporan tersebut menyisakan masalah pembatasan insiden yang melampaui deteksi malware: mengganti perangkat pertama yang disusupi tidak mengakhiri akses penyerang ke tim dompet, dan menangguhkan penarikan tidak menghapus kewenangan on-chain. Kini, tinjauan independen menjadi tolok ukur untuk menilai rekonstruksi Binance atas rangkaian tersebut sekaligus memastikan apakah kontrol yang dibangun ulang telah mengatasinya.