Pendiri Coinex: Peretasan Binance Ungkap 3 Kelemahan yang Bisa Dihindari

Pandangan Para Pakar Industri

Pendiri bursa pesaing Coinex memberikan tanggapannya terkait pencurian terbesar dalam sejarah kripto, dengan menyatakan bahwa insiden kebocoran di Binance mengungkap "setidaknya tiga kesalahan kritis yang sepenuhnya dapat dihindari." Yang menambahkan bahwa hal ini merupakan kegagalan disiplin operasional, bukan karena kurangnya teknologi canggih.

Komentarnya tersebut muncul di saat Binance sedang menangani dampak dari insiden peretasan yang, menurut bursa tersebut, telah menguras aset senilai sekitar $6,34 miliar dari dompet panasnya pada 29 Oktober. FBI mengaitkan serangan tersebut dengan kelompok Tradertraitor dari Korea Utara.

Tiga Kesalahan

Daftar yang disusun Yang adalah sebagai berikut:

• Komputasi kerja dan pribadi tidak dipisahkan: Yang mengatakan lingkungan pengembangan dan operasional "tidak sepenuhnya terisolasi." Staf yang memiliki akses ke sistem produksi, menurutnya, seharusnya menggunakan perangkat khusus (dengan semua kegiatan pemrograman, obrolan, dan penjelajahan web ditangani di mesin terpisah). Poin tersebut sejalan langsung dengan apa yang diungkapkan Binance dalam laporan post-mortem terbarunya.
• Satu kredensial dapat menjalankan layanan produksi: Yang mengatakan satu kredensial saja sudah cukup untuk mengoperasikan layanan produksi, artinya satu kebocoran kredensial memberi penyerang akses penuh. Ia menyarankan penggunaan manajer sesi berbasis browser yang mirip dengan Session Manager dari Amazon Web Services (AWS), dengan kunci keamanan perangkat keras sebagai faktor otentikasi kedua, sehingga satu kredensial yang dicuri tidak akan menyebabkan pelanggaran keamanan.
• Multi-tanda tangan hanya di atas kertas. Poin ketiga Yang menyoroti pengaturan komputasi multipihak (MPC) Binance, sebuah metode yang membagi wewenang penandatanganan di antara beberapa pihak. Ia mengatakan bahwa para penandatangan tidak memverifikasi transaksi secara berarti, sehingga kompromi pada satu node memiliki efek yang sama dengan satu tanda tangan. Multi-signature hanya berfungsi, katanya, jika setiap penandatangan memeriksa transaksi secara independen, bukan hanya mempercayai permintaan yang datang dari hulu.

Penjelasan Binance Mengenai Kejadian

Penjelasan Binance sendiri mendukung garis besar kritik Yang, sebagaimana disampaikan oleh co-CEO Richard Teng kepada CNBC bahwa setelah wawancara palsu tersebut, para penyerang "menyerbu dengan ganas melalui alat AI internal kami" dan mendapatkan akses ke "sistem yang mengotorisasi transaksi dompet kami." Sebagaimana dilaporkan Bitcoin.com News, analisis pasca-insiden mengaitkan pelanggaran tersebut dengan wawancara kerja palsu dan alat kecerdasan buatan (AI) yang diretas.

Sejak itu, bursa tersebut telah membangun kembali sistem dompet yang terkena dampak, mengganti perangkat, mencabut kredensial, dan memperkuat kontrol risiko layanan dompet. Teng juga mengatakan kepada Fox Business bahwa “perusahaan memikul tanggung jawab penuh,” sambil juga mencatat bahwa 98% aset yang terdampak telah dikembalikan.

Yang bukanlah satu-satunya pihak yang menganggap peretasan ini sebagai kegagalan manajemen risiko. Pendiri Zero Knowledge Group, Austin Campbell, mengatakan kepada media kripto bahwa "kripto tidak pernah dibangun untuk keamanan di luar sektor teknologi," dan kemudian menyerukan penangguhan transfer bernilai miliaran dolar selama 24 jam.

Seorang Kritikus yang Juga Terlibat Langsung

Kritik Yang memiliki latar belakang yang tidak biasa, karena pada bulan September, ia mengumumkan bahwa Coinex akan memulai penutupan secara bertahap, dengan penarikan dana tetap dibuka hingga 22 Desember 2026. Ia mengatakan saat itu bahwa risiko keamanan dan kepatuhan dalam mengoperasikan bursa kripto telah menjadi semakin sulit dikendalikan, sambil menambahkan bahwa "mengambil risiko tak terbatas demi pendapatan terbatas bukanlah pilihan yang rasional."

Dengan kata lain, pendiri yang menganalisis kegagalan Binance ini memutuskan bahwa risiko serupa tidak layak ditanggung di perusahaannya sendiri.

Terakhir, perlu disebutkan bahwa tidak ada satu pun solusi yang diusulkan Yang yang bersifat eksotis; misalnya, pemisahan perangkat, kunci perangkat keras, dan pemeriksaan penandatangan independen semuanya merupakan saran standar bagi perusahaan besar mana pun. Fakta bahwa perusahaan dengan sumber daya sebesar Binance dapat dikalahkan melalui celah-celah tersebutlah yang membuat postingannya terasa menyakitkan.

Bagaimanapun, biayanya tetap sangat besar; sebuah analisis memperkirakan Binance mungkin telah kehilangan sekitar setengah dari laba lima tahunnya akibat denda dan peretasan. Dengan para peretas yang menyebarkan dana curian ke 12.000 dompet, bursa-bursa lain kemungkinan akan menghadapi pertanyaan yang sama seperti yang baru saja diajukan oleh Yang: apakah fondasi dasar mereka benar-benar sudah terpenuhi?