Peretasan bursa dan pencurian kripto: kasus terbesar dari Mt. Gox hingga Bitget, dan pelajarannya

Oleh Unicorn Private Research. Diterbitkan pada 27 Oktober 2026.

Dari Mt. Gox pada 2014 hingga kerugian 1,5 miliar dolar Bybit pada 2025 dan 387,5 juta dolar Bitget pada September 2026, pencurian terbesar mengikuti pola yang sama. Tanggal, jumlah, sumber, dan pelajaran soal kustodi.

Setiap beberapa tahun, satu pencurian memecahkan rekor industri kripto. Jumlahnya tumbuh bersama pasar, tetapi titik lemahnya berubah lebih sedikit dari yang dibayangkan: dompet daring yang dipakai bursa untuk penarikan harian, orang dan pemasok yang bisa menyetujui transaksi, serta jembatan yang memindahkan token antarblockchain.

Mt. Gox, 2014. Bursa di Tokyo itu, saat itu platform bitcoin terbesar, menghentikan perdagangan dan meminta perlindungan kepailitan pada Februari 2014 setelah mengumumkan hilangnya sekitar 850.000 bitcoin milik nasabah dan perusahaan, senilai sekitar 450 juta dolar saat itu, tulis Fortune pada 26 Januari 2018. Sekitar 200.000 di antaranya kemudian ditemukan di dompet lama. Nasabah menunggu bertahun-tahun untuk pembayaran melalui proses kepailitan.

Coincheck, 2018. Pada 26 Januari 2018 bursa Jepang itu melaporkan bahwa 523 juta token NEM telah dikirim dari dompetnya, senilai 58 miliar yen atau sekitar 530 juta dolar, lapor Dark Reading. Token itu disimpan di dompet daring, bukan di penyimpanan luring. Dua hari kemudian Coincheck mengumumkan akan mengembalikan sekitar 46,3 miliar yen dari dana sendiri kepada sekitar 260.000 nasabah terdampak, lapor Gulf News.

Ronin, 2022. Pada Maret 2022 penyerang mengambil sekitar 620 juta dolar dalam ether dan USDC dari jembatan Ronin, yang melayani gim Axie Infinity, setelah menguasai cukup banyak kunci validator untuk menyetujui penarikan. Pada 14 April 2022 FBI menyatakan pencurian itu dilakukan kelompok Korea Utara yang dikenal sebagai Lazarus dan APT38, lapor BleepingComputer.

DMM Bitcoin, 2024. Pada akhir Mei 2024 bursa Jepang itu kehilangan 4.502,9 bitcoin, senilai sekitar 308 juta dolar saat itu. Pada 23 Desember 2024 FBI, Cyber Crime Center Departemen Pertahanan AS, dan Badan Kepolisian Nasional Jepang menyatakan pelakunya TraderTraitor, kelompok Korea Utara, yang memanipulasi permintaan transaksi sah setelah seorang karyawan pemasok perangkat lunak dompet didekati perekrut palsu, lapor The Record. DMM Bitcoin kemudian tutup dan memindahkan akun-akunnya ke SBI VC Trade.

Bybit, 2025. Pada atau sekitar 21 Februari 2025 bursa yang berbasis di Dubai itu kehilangan sekitar 1,5 miliar dolar aset virtual, sebagian besar ether, pencurian terbesar yang pernah tercatat. Dalam pengumuman layanan publik pada 26 Februari 2025, FBI menyebut Korea Utara bertanggung jawab dengan nama TraderTraitor, dan menyatakan bahwa para pencuri mengonversi aset ke bitcoin dan token lain melalui ribuan alamat di beberapa blockchain.

Bitget, 2026. Pada 24 September 2026 Bitget mendeteksi transfer tanpa izin dari dompet panas dan hangatnya lalu menghentikan penarikan. Awalnya kerugian diperkirakan 351,6 juta dolar, lalu dinaikkan menjadi 387,5 juta setelah pelacakan on-chain. Perusahaan menjelaskan bahwa penyerang membobol sistem backend infrastruktur dompetnya dan memalsukan data transaksi untuk memicu proses otorisasinya sendiri; Bitget menyatakan saldo pengguna tidak terdampak, kerugian ditanggung Protection Fund miliknya, dan menuding peretas Korea Utara, lapor BleepingComputer pada 28 September 2026.

Totalnya. Chainalysis mencatat lebih dari 3,4 miliar dolar dicuri dari Januari hingga awal Desember 2025, dengan sedikitnya 2,02 miliar, sekitar 60 persen, dikaitkan dengan Korea Utara; tiga peretasan terbesar menyumbang 69 persen kerugian penyedia layanan, menurut laporannya pada 18 Desember 2025. Untuk 2026, CertiK menghitung 658 insiden dan sekitar 2,68 miliar dolar kerugian kotor hingga September, dengan sekitar 420,4 juta dibekukan atau dikembalikan; September, dengan sekitar 766,5 juta, menjadi bulan terburuk tahun ini, lapor CryptoSlate pada 2 Oktober 2026. Elliptic mengaitkan lebih dari 1 miliar dolar pencurian pada 2026 dengan operasi yang diduga dilakukan Korea Utara.

Pelajaran dari kasus-kasus ini. Pertama, kerugian terkonsentrasi: segelintir pembobolan besar menyumbang sebagian besar nilai. Kedua, sasaran bergeser dari kode ke manusia dan proses, dengan perekrut palsu, pemasok yang dibobol, dan layar persetujuan palsu. Ketiga, cara bursa menyimpan aset sama pentingnya dengan ukurannya: dana di penyimpanan dingin luring tidak tersentuh di Bitget, sementara token Coincheck berada di dompet daring. Keempat, pemulihan bergantung pada modal platform sendiri, seperti di Coincheck dan Bitget, atau pada proses kepailitan yang panjang, seperti di Mt. Gox. Aturan seperti MiCA di Eropa kini mewajibkan pemisahan aset nasabah dan kebijakan kustodi, tetapi tidak menghapus risiko operasional.

Mengapa ini penting: bagi pemegang kripto, pertanyaannya bukan hanya token apa yang dimiliki, tetapi siapa yang memegang kunci, berapa banyak yang disimpan di bursa dan berapa lama, serta apa yang terjadi bila platform dibobol.

Unicorn Club, klub khusus anggota milik Unicorn Private untuk club deal pra-IPO, menerima BTC, ETH, USDT, dan USDC di ERC-20; pembayaran dikonfirmasi di blockchain dan anggota dapat mengirimnya dari dompet yang dikelola sendiri atau dari akun bursa. Panduan Cara berinvestasi di perusahaan pra-IPO dengan kripto menjelaskan langkah-langkahnya. Artikel ini adalah informasi umum, bukan nasihat pribadi. Berinvestasi mengandung risiko kehilangan modal.

Peretasan bursa dan pencurian kripto: kasus terbesar dari Mt. Gox hingga Bitget, dan pelajarannya

Sumber

Berita lainnya

Halaman ini dalam bahasa lain

Peretasan bursa dan pencurian kripto: kasus terbesar dari Mt. Gox hingga Bitget, dan pelajarannya

Sumber

Berita lainnya

Halaman ini dalam bahasa lain

Buletin