DI YOGYAKARTA — Perusahaan intelijen blockchain TRM Labs menilai kelompok peretas TraderTraitor yang dikaitkan dengan Korea Utara bertanggung jawab atas pencurian aset kripto senilai US$ 6,36 miliar atau sekitar Rp 114,2 triliun dari dompet Binance. Nilai itu sekitar empat kali lipat peretasan Bybit pada Februari 2025 yang mencapai US$ 1,5 miliar. Serangan berlangsung kilat: sebagian besar aset berpindah hanya dalam 20 menit.
Analisis TRM Labs menempatkan TraderTraitor sebagai pelaku dengan tingkat keyakinan tinggi. Menurut laporan Firstpost yang mengutip TRM, peretas memindahkan dana dari dompet Binance yang tersebar di 10 jaringan blockchain berbeda.
Gelombang transaksi pertama tercatat mulai pukul 20.05 UTC pada Kamis (29/10). Sekitar tiga jam kemudian, pukul 23.05 UTC, transaksi lanjutan menjangkau dompet Binance di jaringan Avalanche dan Polygon.
Hingga kini Binance belum mengumumkan siapa pihak yang bertanggung jawab atas insiden tersebut. Namun Biro Investigasi Federal Amerika Serikat (FBI) menyatakan TraderTraitor berada di balik serangan itu. FBI menyebut para pelaku mengonversi aset curian menjadi Ethereum dan memperkirakan dana tersebut akan menjalani pencucian lebih lanjut.
TraderTraitor adalah sebutan otoritas Amerika Serikat untuk aktivitas siber yang disponsori negara Korea Utara dan menyasar industri mata uang kripto. Nama ini pertama dipakai dalam imbauan bersama FBI, Badan Keamanan Siber dan Infrastruktur AS (CISA), serta Departemen Keuangan AS pada April 2022.
Kelompok ini masuk dalam ekosistem operasi siber Korea Utara yang lebih luas dan dikaitkan dengan Lazarus Group. Laporan WIRED pada Februari 2025 menyebut TraderTraitor sebagai salah satu subkelompok peretas Korea Utara paling canggih.
Sejumlah perusahaan keamanan siber melacak aktivitas kelompok ini dengan nama berbeda. Microsoft menyebutnya Jade Sleet, Google memakai UNC4899, sementara Palo Alto Networks menggunakan label Slow Pisces.
TraderTraitor diduga merupakan turunan kelompok APT38. Kelompok itu sebelumnya dikaitkan dengan serangan terhadap sistem keuangan SWIFT dan upaya pencurian US$ 1 miliar dari Bank Sentral Bangladesh pada 2016.
Peneliti keamanan siber yang mempelajari Korea Utara di DTEX Systems menyebut TraderTraitor sebagai kelompok paling canggih di antara sejumlah kelompok pencuri kripto Korea Utara. Kemampuan itu dinilai tak lepas dari latar belakang APT38 yang disebut sebagai tim andalan dalam operasi siber negara tersebut.
Yang membuat TraderTraitor berbahaya bukan semata kemampuan teknis menembus sistem. Kelompok ini menyasar orang-orang yang punya akses ke sistem perusahaan.
Menurut laporan WIRED, target utama mereka adalah karyawan perusahaan Web3, terutama pengembang perangkat lunak. Modusnya spear-phishing, yakni pesan yang dirancang khusus agar target membuka tautan, menjalankan kode berbahaya, atau menyerahkan akses.
Pesan dikirim lewat platform profesional dan komunikasi seperti LinkedIn, Slack, Telegram, maupun GitHub. Dalam sejumlah kasus, pelaku membuat identitas palsu atau membajak akun asli yang telah diretas. Mereka lalu mengajak pengembang bekerja sama dalam proyek perangkat lunak sebelum menyisipkan malware ke perangkat korban.
Direktur Strategi Intelijen Ancaman Microsoft, Sherrod DeGrippo, menilai pendekatan itu menunjukkan serangan tidak selalu dimulai dari eksploitasi celah perangkat lunak. Pelaku juga mengincar kepercayaan dan kebiasaan manusia.
Dalam kasus Binance, perusahaan menyatakan investigasi awal mengindikasikan laptop seorang engineer DevOps telah dikompromikan. Akses itu diduga membuka jalan bagi penyerang masuk ke sebuah service container dan mengirim instruksi penarikan aset tanpa izin.
Binance menegaskan tidak menemukan bukti kebocoran private key dompet kripto. Analisis TRM Labs menambahkan gambaran teknis bahwa perpindahan dana menyebar ke banyak jaringan, sehingga penelusuran aset menjadi lebih rumit bagi otoritas maupun bursa.
Bagi pelaku pasar kripto, kasus ini menegaskan bahwa risiko terbesar tidak selalu datang dari celah kode. Celahnya ada pada manusia yang memegang kunci akses.