Ke Mana Sebenarnya Kripto Curian Itu Berakhir: Mengintip Mesin Pencucian Uang Selama 45 Hari

Enam Tahun, Lebih dari $16 Miliar Hilang

Pencurian kripto bukan lagi fase yang perlahan-lahan akan dilewati oleh industri aset digital, melainkan telah menjadi industri tersendiri. Hingga saat ini, hanya dalam setengah dekade terakhir saja, para penyelidik on-chain telah mencatat total kerugian yang terus membengkak ($3,7 miliar pada tahun 2022, $1,7 miliar pada tahun 2023, $2,2 miliar pada 2024, dan $3,4 miliar pada 2025), angka-angka yang belum menunjukkan tanda-tanda akan berhenti.

Bahkan, perlu disebutkan bahwa hampir setengah dari total tahun lalu berasal dari satu peristiwa saja, yaitu peretasan Bybit pada Februari 2025, di mana para penyerang membobol proses penandatanganan dompet dingin bursa tersebut dan berhasil membawa kabur $1,5 miliar (menjadikannya pencurian kripto terbesar dalam sejarah).

Paruh pertama tahun ini pun sangat mirip, dengan kerugian total sekitar $1,1 miliar dari 212 insiden—angka tertinggi sepanjang sejarah—menurut firma keamanan Blockaid. Kerugian tunggal terbesar terjadi pada 19 April akibat eksploitasi protokol restaking KelpDAO (sebesar $293 juta), dan TRM Labs mencatat 207 insiden selama enam bulan ini, lebih dari dua kali lipat dibandingkan periode yang sama tahun sebelumnya.

Panduan 45 Hari

Apa yang biasanya terjadi setelah pencurian-pencurian tersebut kini hampir seperti skenario yang sudah mapan, dengan para peneliti menggambarkan siklus pencucian dana khas yang berlangsung sekitar 45 hari dalam tiga gelombang.

Selama hari ke-0 hingga ke-5, kecepatan menjadi hal terpenting dan token yang dicuri biasanya ditukar melalui protokol keuangan terdesentralisasi (DeFi) (aktivitas melonjak hingga 370%) dan dimasukkan ke dalam layanan pencampuran, yang mengumpulkan dan mengacak koin untuk memutus hubungan antara sumber dan tujuan. Selama hari keenam hingga kesepuluh, dana berpindah rantai melalui jembatan lintas rantai dan mengalir melalui bursa dengan pemeriksaan know-your-customer (KYC) yang terbatas.

Kemudian, dari sekitar hari ke-20 hingga hari ke-45, koin-koin tersebut dicairkan dalam jumlah kecil (biasanya di bawah $500.000 agar tetap di bawah ambang batas pelaporan) melalui platform tanpa KYC, penukar instan, serta jaringan over-the-counter (OTC) berbahasa Mandarin dan layanan jaminan seperti pasar Huione yang terkena sanksi.

Akibatnya, pada akhir siklus, uang tersebut telah melewati begitu banyak rantai, mixer, dan yurisdiksi sehingga meskipun penelusuran asal-usulnya masih mungkin dilakukan (karena blockchain tidak pernah lupa), pemulihannya jarang berhasil. Sebagai gambaran, kurang dari 5% dana Bybit yang dicuri pernah berhasil dipulihkan, meskipun bursa tersebut didukung oleh beberapa pakar keamanan siber “white hat” paling berpengalaman.

2026: Lebih Banyak Peretasan, Hasil Curian Lebih Kecil

Tahun ini, para penyerang telah memperluas target mereka karena, di samping eksploitasi protokol seperti yang terjadi pada KelpDAO, bulan April saja mencatatkan rekor bulanan dengan $641,67 juta yang dicuri. Kelompok dari Korea Utara yang terkait dengan Lazarus berada di balik sekitar 55% kerugian pada paruh pertama tahun ini, dan perhitungan CertiK—yang mencakup serangan phishing dan pengurasan dompet pribadi—menunjukkan kerugian periode tersebut mencapai $1,32 miliar dari 344 insiden.

Baru-baru ini, eksploitasi dompet perangkat keras Coldcard menunjukkan bagaimana taktik penyerangan ini juga beradaptasi dengan bitcoin. Setelah menguras sekitar $116 juta dari dompet dengan seed yang lemah, penyerang mulai mengonsolidasikan koin-koin tersebut sementara para pengamat memantau setiap pergerakan. Mengingat insiden tersebut, keunggulan utama bitcoin, seperti transparansi dan sifat yang tidak dapat dibatalkan, berubah menjadi pedang bermata dua hampir dalam semalam karena meskipun semua orang dapat melihat pergerakan koin yang dicuri, tidak ada yang dapat mengembalikannya.

Mengapa Pemulihan Hampir Tidak Pernah Terjadi

Ketika semua serangan ini terjadi, satu-satunya cara yang berulang kali terbukti efektif adalah pembekuan stablecoin terpusat. Tether dan Circle dapat memasukkan alamat ke daftar hitam di tingkat kontrak, sehingga secara instan membekukan USDT atau USDC yang masih dipegang oleh para pencuri. Inilah tepatnya mengapa penyerang yang canggih menukar stablecoin yang dicuri menjadi ether atau bitcoin dalam hitungan menit setelah terjadi pelanggaran, dengan menerima risiko harga demi menghindari jangkauan pembekuan.

Ini adalah asimetri yang mengungkap kenyataan: aset yang paling tahan sensor adalah yang paling mudah dicuci, sedangkan aset yang paling mudah dibekukan adalah yang paling mudah dipulihkan. Setiap strategi pencucian uang pada akhirnya adalah perlombaan untuk mengubah aset yang dapat dilacak menjadi yang tak terdeteksi sebelum pihak yang memiliki "tombol pause" menyadarinya.

Perhitungan yang tidak menyenangkan dari pencurian kripto adalah bahwa pencegahan hampir menjadi segalanya. Bursa dan perusahaan analitik dapat membekukan dana yang bersinggungan dengan platform yang patuh, dan itulah tepatnya mengapa para pencuci uang memfokuskan upaya mereka pada DeFi dan mixer, di mana tidak ada yang bisa membekukan apa pun.

Sanksi terhadap mixer dan layanan seperti Huione memang menaikkan biaya, tetapi hanya mengalihkan aliran dana ke layanan pengganti, bukan menghentikannya. Dan batas waktu 45 hari berarti bahwa pada saat proses hukum lintas batas bahkan baru dimulai, koin-koin tersebut biasanya sudah menyelesaikan perjalanannya.

Bagi pengguna dan platform, pelajarannya adalah bahwa, begitu dicuri, sebagian besar dana mereka tidak akan pernah kembali. Selain itu, siklus para penyerang lebih cepat daripada proses kepatuhan, dan setiap tahun ketika berita utama menyebutkan bahwa “pencurian kripto sedang menurun”, contoh sebaliknya senilai miliaran dolar berikutnya sudah mulai bergerak. Blockchain mencatat segalanya, tetapi tidak mengembalikan apa pun.