TRM Labs dan ZachXBT Tuduh Lazarus Korea Utara Bobol Binance

Penyelidik Menunjuk ke Pyongyang

Pencarian terhadap pelaku serangan Binance kini memiliki tersangka utama, dengan perusahaan analisis blockchain TRM Labs mengaitkan serangan tersebut dengan Tradertraitor (bagian dari ekosistem Lazarus), yang disebutnya sebagai unit peretasan elit Korea Utara. Perusahaan tersebut mencapai kesimpulan tersebut dengan tingkat keyakinan tinggi berdasarkan intelijen on-chain dan off-chain, dengan memperkirakan nilai hasil curian sekitar $6,36 miliar pada saat masing-masing aset diambil.

Penyelidik independen ZachXBT mencapai kesimpulan serupa beberapa jam sebelumnya, dan ketika ditanya siapa yang berada di balik penarikan dana tersebut, ia menjawab:

"Kemungkinan besar adalah Kelompok Lazarus (DPRK)"

Meskipun demikian, postingan-postingan tersebut tidak secara otomatis mengonfirmasi tanggung jawab, dan belum ada pemerintah yang secara resmi menunjuk pelaku.

Ari Redbord, kepala kebijakan global TRM, mengatakan kepada Al Jazeera bahwa serangan ini belum pernah terjadi sebelumnya dan nantinya akan dipandang sebagai momen penting dalam sejarah kripto, sambil menambahkan:

"Ketika Korea Utara melakukan pencurian dalam skala sebesar ini, uang tersebut digunakan untuk mendanai proliferasi senjata dan aktivitas destabilisasi lainnya."

Strategi yang Sudah Dikenal, Namun Empat Kali Lipat Lebih Besar

Tim TRM meyakini bahwa pola pelaksanaan dan ciri khasnya cocok dengan pencurian Bybit pada awal tahun lalu, yang oleh FBI dituduhkan kepada kelompok yang sama, bersama dengan peretasan Kelpdao pada April 2026. Perusahaan analisis blockchain Chainalysis secara terpisah memperkirakan sekitar $5,912 miliar telah dicuri, hampir empat kali lipat dari kasus Bybit.

Persiapannya dilakukan secara sistematis; peneliti on-chain 0xQuit menemukan bahwa relayer penyerang didanai oleh tiga penarikan Tornade Cash masing-masing sebesar 0,1 ETH selama dua hari sebelumnya, dengan kontrak delegasi yang diluncurkan pada pukul 15:59 UTC. Seorang analis lain mengatakan bahwa penyerang telah melakukan simulasi penarikan tersebut enam jam sebelumnya pada tiga dompet baru, dengan menyapu jumlah uji coba dari berbagai token.

Serangan sebenarnya terjadi pada pukul 20:24 UTC, ketika 167.464 ETH dipindahkan keluar dari dompet panas Binance 14. Bitcoin.com News kemarin menjelaskan secara rinci bagaimana manuver delegasi dompet tersebut bekerja, serta bagaimana temuan awal Binance sendiri mengarah pada laptop seorang insinyur DevOps yang diretas.

Media sosial menambahkan sentuhan ejekan pada seluruh kejadian ini, dengan seorang komentator mengklaim bahwa penyerang meluncurkan koin meme "LAZARUS" di Pump.fun. Bitcoin.com News tidak dapat memverifikasi apakah pengembang tersebut terkait dengan dompet-dompet milik peretas.

Ke Mana Uang Itu Pergi

Berbeda dengan Bybit, di mana dana curian berpindah dengan cepat melalui jembatan (bridges), pencucian uang kali ini mengandalkan transaksi besar. TRM menyebutkan bahwa penyerang menjual sekitar 325 juta USDT kepada pembuat pasar (market makers) untuk mendapatkan sekitar 122.300 ETH dengan diskon lebih dari 10%. Pelaku juga meminjam sekitar 19.760 ETH di Aave dengan jaminan 60 juta USDT.

Pembekuan aset telah berhasil mengembalikan sebagian besar dana, dan Binance menyatakan bahwa total dana yang dibekukan telah mencapai sekitar $3 miliar. Namun, TRM memperkirakan penyerang masih memegang lebih dari 420.000 ETH dan 18.270 BTC, senilai sekitar $2,4 miliar yang berada di luar jangkauan penerbit, dengan bitcoin tersebut dipindahkan melalui "peel chain", sebuah metode pencucian uang yang membagi dana menjadi rangkaian panjang transfer-transfer kecil.

Onchain Lens melaporkan bahwa kelompok tersebut sedang memindahkan lebih dari $1 miliar dalam bentuk ETH ke dompet-dompet baru, kemungkinan sebagai persiapan untuk proses pencampuran. TRM memperkirakan tahap berikutnya akan melibatkan jembatan lintas rantai, layanan pertukaran, dan pialang over-the-counter (OTC).

Tahun Rekor untuk Pencurian Kripto

Perampokan ini terjadi di tengah apa yang disebut Defillama sebagai tahun dengan peretasan terbanyak dalam sejarah kripto, dengan lebih dari $8 miliar dicuri sejauh ini pada tahun 2026. Sebagai perbandingan, penjahat siber mencuri $2,87 miliar melalui hampir 150 insiden pada tahun 2025.

Serangan terhadap Binance juga terjadi beberapa jam setelah Polymarket menghentikan perdagangan akibat eksploitasi terpisah, menunjukkan betapa banyak front yang harus dihadapi tim keamanan secara bersamaan.

Dampaknya Bisa Tak Tertandingi

TRM menyatakan bahwa mereka memberi peringatan kepada mitra melalui Beacon Network dan mendesak bursa untuk memeriksa setoran terhadap alamat penyerang yang telah ditandai. Pada saat yang sama, Binance telah berjanji akan merilis laporan teknis pasca-insiden yang mendetail setelah penyelidikan awalnya selesai.

Pertanyaan utamanya kini adalah kecepatan, karena setiap jam ETH dan BTC milik penyerang yang belum dicampur memberi penyelidik lebih banyak waktu untuk melacak jalur penarikan, sementara rekam jejak Korea Utara menunjukkan bahwa kelompok tersebut akan mencoba mencairkan dana melalui meja OTC sebelum jejak tersebut menghilang.