Pukul 18.31 UTC pada 24 September 2026, sistem keamanan Bitget mendeteksi transfer tak sah dari sebagian hot wallet miliknya. CEO Bitget, Gracy Chen, mengonfirmasi lewat platform X bahwa dana yang berpindah mencapai sekitar 351,6 juta dolar AS (CoinDesk, 24 September 2026). Dalam hitungan jam, angka itu menjadikan insiden ini salah satu peretasan bursa kripto terbesar sepanjang 2026.
Yang membuat kasus ini penting bukan cuma nominalnya. Bitget mengklaim sudah menjalankan arsitektur wallet tiga lapis: hot, warm, dan cold, sebuah standar keamanan yang selama ini dianggap memadai setelah industri babak belur oleh peretasan Bybit senilai 1,5 miliar dolar AS pada Februari 2025. Jika lapisan itu tetap bisa ditembus, pertanyaannya bergeser dari "apakah Bitget aman" menjadi "apakah cara bursa kripto menyimpan dana yang harus tetap likuid ini sendiri yang bermasalah."
Kronologi: 19 Transfer dalam Satu Serangan
Estimasi awal dari analisis on-chain independen sempat menyebut angka jauh lebih kecil, sekitar 183 juta dolar AS. Analis Arkham Intelligence, Emmett Gallic, menulis di X bahwa transaksi mencurigakan itu melibatkan tiga hot wallet dan satu cold wallet Bitget di beberapa jaringan blockchain, dengan dana dikumpulkan ke satu alamat (CoinDesk, 24 September 2026). Bitget kemudian mengoreksi angka tersebut menjadi 351,6 juta dolar AS setelah menyadari perhitungan awal tidak menangkap seluruh aktivitas di jaringan yang terdampak.
Total serangan tercatat sebagai 19 transfer terpisah yang tersebar di lima jaringan: Ethereum, XRP Ledger, Avalanche, BNB Smart Chain, dan Arbitrum (Yahoo Finance, 25 September 2026). Aset yang terseret meliputi Ethereum (ETH), XRP, Binance Coin (BNB), Avalanche (AVAX), serta dua stablecoin utama, USDT dan USDC. Bitget menyatakan cold wallet-nya tidak tersentuh sepanjang insiden, dan tim keamanan berhasil menghentikan aliran dana tak sah lanjutan sebelum kerugian membesar.
Sebagai langkah pencegahan, Bitget menghentikan sementara layanan penarikan dana, sementara deposit dan perdagangan tetap berjalan normal. Chen berjanji laporan insiden lengkap, termasuk analisis akar masalah, akan dipublikasikan dalam 24 jam sejak pengumuman awal.
Modus Operandi: Backend Dibobol, Bukan Kunci Privat Dicuri
Penjelasan awal Bitget soal cara serangan ini terjadi berbeda dari pola peretasan bursa yang selama ini paling sering terjadi. Tim keamanan Bitget menemukan bahwa penyerang membobol sistem backend wallet yang kritikal, memakainya untuk memalsukan data transfer, lalu memicu proses otorisasi penandatanganan transaksi milik Bitget sendiri (CNBC, 25 September 2026). Dengan kata lain, penyerang tidak mencuri kunci privat secara langsung, melainkan menipu sistem internal agar mengira permintaan transfer itu sah.
Pola ini berbeda dari kasus Bybit pada Februari 2025, ketika penyerang memanipulasi antarmuka penandatanganan multisig sehingga operator yang menyetujui transaksi tanpa sadar mengizinkan pengalihan dana ke alamat penyerang. Kesamaannya: keduanya menyasar titik di mana sistem otomatis dan keputusan manusia bertemu, bukan mencoba membobol enkripsi kunci privat secara langsung. Ini yang membuat kepala eksekutif firma keamanan siber FailSafe, Aneirin Flynn, menyebut insiden ini merusak anggapan bahwa bursa besar sudah menyelesaikan masalah keamanan hot wallet (Insurance Journal, 25 September 2026).
Kecurigaan ke Korea Utara: Pola yang Familiar, Bukti yang Masih Berkembang
Chen menyatakan penyelidikan awal menunjukkan pola alamat IP yang terhubung dengan layanan VPN yang sebelumnya dipakai kelompok peretas Korea Utara. "Berdasarkan pola perilaku IP dan analisis on-chain, metode serangan dalam insiden ini sangat konsisten dengan pola yang dikenal dari organisasi peretas Korea Utara," kata Chen (Cybernews, 25 September 2026).
Klaim ini masuk akal bila dilihat dari rekam jejak. Kelompok Lazarus, yang beroperasi di bawah Reconnaissance General Bureau Korea Utara, diperkirakan telah mencuri lebih dari 6 miliar dolar AS dalam bentuk kripto sejak 2017, dan bertanggung jawab atas lebih dari 70 persen eksploitasi kripto sepanjang 2026 (Arkham Intelligence, Mei 2026). Biro Investigasi Federal AS (FBI) secara resmi menyatakan Korea Utara bertanggung jawab atas peretasan Bybit senilai 1,5 miliar dolar AS pada Februari 2025, rekor terbesar sepanjang sejarah kripto (RFA, 27 Februari 2025). Sebelumnya, bursa Korea Selatan Upbit kehilangan sekitar 30,6 juta dolar AS pada November 2025 dan CoinEx kehilangan 54 juta dolar AS pada September 2023, keduanya ditautkan ke kelompok yang sama (DL News).
Namun kesamaan pola bukan bukti yang berdiri sendiri. Sejumlah analis mempertanyakan tautan langsung ke Lazarus Group dalam kasus Bitget ini (Cybernews, 25 September 2026), dan sampai artikel ini ditulis belum ada konfirmasi independen dari lembaga penegak hukum seperti FBI, berbeda dengan kasus Bybit yang sudah mendapat pengumuman resmi pemerintah AS. Alamat IP dan rute pencucian dana lewat mixer atau bursa tertentu bisa menjadi indikasi kuat, tapi metode itu juga bisa ditiru kelompok lain untuk mengalihkan kecurigaan. Korelasi pola serangan dengan kelompok tertentu tidak otomatis membuktikan sebab akibat, dan atribusi forensik siber pada dasarnya bersifat probabilistik, bukan pasti.
Penting juga menahan diri dari kesimpulan yang terlalu menyederhanakan geopolitik. Kerentanan backend Bitget adalah masalah teknis yang berdiri sendiri, terlepas dari siapa yang mengeksploitasinya. Motif negara memang memberi insentif kuat bagi kelompok seperti Lazarus untuk menyasar infrastruktur kripto sebagai sumber devisa di tengah sanksi internasional, tapi kerentanan itu sendiri ada karena pilihan desain sistem Bitget, bukan semata karena ada aktor negara yang mengintai.
Risiko Dua Arah: Dana Pengguna Aman, tapi Kepercayaan Ikut Diuji
Tesis Bitget: dana pengguna tetap aman. Chen menegaskan kerugian ini lebih kecil dari User Protection Fund milik Bitget yang bernilai lebih dari 464 juta dolar AS, sementara aset milik perusahaan sendiri melebihi 1 miliar dolar AS (Cybernews, 25 September 2026). Sejumlah yayasan aset kripto yang terdampak, termasuk penerbit stablecoin, juga disebut telah membekukan sebagian alamat wallet milik penyerang untuk mencegah dana dicairkan lebih lanjut. Secara neraca, Bitget tampak punya bantalan yang cukup untuk menyerap kerugian ini tanpa memengaruhi saldo pengguna.
Yang bisa membuat pembacaan ini terlalu optimistis:
- Estimasi kerugian awal yang meleset jauh (183 juta dolar AS menjadi 351,6 juta dolar AS) menimbulkan pertanyaan soal seberapa akurat sistem pemantauan real-time Bitget sendiri saat insiden masih berlangsung.
- Penghentian sementara penarikan dana, meski dibingkai sebagai langkah pencegahan, secara historis kerap memicu kepanikan pengguna di bursa lain, terlepas dari apakah dana benar-benar aman atau tidak.
- Cakupan dana proteksi menutup kerugian finansial, tapi tidak otomatis memulihkan kepercayaan institusional. Seperti disampaikan Flynn dari FailSafe, kerusakan pada kepercayaan terhadap infrastruktur kripto tetap terjadi sekalipun kompensasi penuh diberikan.
Yang Perlu Dipantau
Beberapa hal berikut akan menentukan apakah insiden ini berakhir sebagai catatan operasional yang cepat pulih, atau berkembang jadi krisis kepercayaan yang lebih luas bagi Bitget.
Laporan insiden lengkap yang dijanjikan Chen terbit dalam 24 jam sejak pengumuman 24 September 2026, termasuk analisis akar masalah dan langkah perbaikan konkret. Status pemulihan layanan penarikan dana, apakah kembali normal sesuai jadwal atau tertunda lebih lama dari perkiraan awal. Ada tidaknya konfirmasi resmi dari lembaga penegak hukum seperti FBI atau otoritas Korea Selatan soal keterlibatan Korea Utara, mengingat klaim Bitget saat ini masih berdasarkan analisis internal perusahaan sendiri. Perkembangan pembekuan dana oleh yayasan aset yang terdampak, dan berapa persen dari total kerugian yang berhasil diselamatkan lewat proses tersebut.
Referensi & Resources:
- Bitget hit by $352 million hack with North Korea suspected - Cybernews
- Crypto exchange Bitget says $352 million affected in a hack, claims user funds are 'safe' - CoinDesk
- Bitget's $352 million hack happened via spoofed transfers, not private keys, CEO Gracy Chen says - CoinDesk
- Crypto platform Bitget suspects North Korea is responsible for $352 million hack - CNBC
- Crypto Exchange Bitget Says Hackers Stole $352 Million - Insurance Journal
- Lazarus Group: The North Korean Hacking Syndicate's On-Chain Footprint - Arkham Intelligence
- North Korean hackers behind largest ever financial theft - RFA
- North Korea Lazarus Group Crypto Theft Tally Since 2007 - DL News