Peretasan CoinDCX Senilai $44 Juta Dijelaskan

Pelanggaran yang Mengguncang Sektor Kripto India

CoinDCX, salah satu bursa mata uang kripto terkemuka di India, mengonfirmasi pelanggaran keamanan yang mengakibatkan pencurian lebih dari $ 44 juta dalam aset digital. 

Eksploitasi tersebut menargetkan dompet operasional di beranda Jaringan yang digunakan untuk penyediaan likuiditas—bukan dompet pelanggan. Meskipun serangan berlangsung cepat dan berskala besar, perusahaan bersikeras bahwa dana pengguna tetap utuh dan sepenuhnya aman.

Insiden ini pertama kali dilaporkan bukan oleh perusahaan, melainkan oleh investigator blockchain Zach XBT, yang melacak pergerakan dana mencurigakan dan mengidentifikasi dompet yang diretas sebagai milik CoinDCX. Pengungkapannya memaksa CoinDCX untuk merespons dalam hitungan menit, menandai salah satu insiden keamanan kripto paling terkenal di India tahun ini.

Bagaimana Serangan Terjadi

Menurut perusahaan keamanan on-chain CyversSerangan itu direncanakan dengan matang dan dieksekusi dengan presisi. Penyetelan dimulai paling cepat pada 16 Juli 2025, dengan 1 ETH yang dikirim dari Tornado Cash—sebuah mixer mata uang kripto yang sering digunakan untuk mengaburkan asal dana. ETH ini disetorkan ke FixedFloat, ditarik ke Polygon, dan kemudian dijembatani ke Solana, tempat ETH tersebut dikonversi ke SOL untuk menutupi biaya transaksi.

Menurut Meir Dolev, pendiri Cyvers, pada 18 Juli, pukul 21:07 UTC, penyerang memulai transaksi uji coba hanya dengan 1 USDT. Kemudian, eksploitasi yang sebenarnya dimulai. Dalam rentang waktu lima menit, penyerang menguras sekitar $44.2 juta dalam USDT dan USDC dari salah satu dompet operasional CoinDCX di Solana.

Urutan penarikan adalah sebagai berikut:

• 22:09 UTC: $2 juta
• 22:10: $7 juta
• 22:11: $10 juta
• 22:12: $10 juta
• 22:13: Dua transaksi terpisah masing-masing sebesar $5 juta
• 22:14: Penarikan terakhir sebesar $5 juta

Beberapa menit kemudian, transfer yang lebih kecil menyusul, termasuk 102,000 USDC dan 79,000 USDT. Sebagian dana yang dicuri—$15.8 juta—dipindahkan dari Solana ke Ethereum, kemungkinan untuk mendiversifikasi rute dan mempersulit pemulihan.

CoinDCX Menanggapi

Pelanggaran ini menjadi perhatian publik ketika ZachXBT membagikan temuannya di Telegram, yang langsung dikonfirmasi oleh CEO CoinDCX, Sumit Gupta. Ia menyebut insiden tersebut sebagai "pelanggaran server canggih" yang membahayakan satu akun operasional yang digunakan di bursa mitra.

Yang terpenting, Gupta menyatakan bahwa:

• Semua aset pengguna disimpan dalam dompet dingin
• Tidak ada dana pelanggan yang terpengaruh
• Platform terus beroperasi secara normal untuk perdagangan dan penarikan INR

"Insiden ini segera diatasi dengan mengisolasi rekening operasional yang terdampak," tegas Gupta. "Karena rekening operasional kami terpisah dari dompet nasabah, eksposur hanya terbatas pada rekening khusus ini dan sepenuhnya kami serap - dari cadangan kas kami sendiri."

Temukan Proyek yang Menjanjikan...

Proyek yang Menjanjikan...

(Iklan)

Artikel berlanjut...

Langkah-Langkah Keamanan dan Rencana Pemulihan Sedang Berlangsung

CoinDCX menyatakan telah melibatkan perusahaan keamanan siber untuk menyelidiki pelanggaran tersebut dan melacak pergerakan aset yang dicuri. Perusahaan tersebut bekerja sama dengan bursa mitra yang tidak disebutkan namanya untuk membekukan dana jika memungkinkan. Program bug bounty juga sedang dikembangkan, yang bertujuan untuk mengidentifikasi kerentanan sebelum penyerang dapat mengeksploitasinya.

Meskipun terjadi pelanggaran, CoinDCX tetap mempertahankan sistemnya yang andal. Perusahaan telah lama mengklaim menggunakan arsitektur keamanan berlapis. Dana didistribusikan ke berbagai dompet dan kustodian. 

Laporan bukti cadangan bulanan telah menjadi landasan kebijakan transparansi bursa. Terdapat juga dana kompensasi yang dirancang untuk melindungi pengguna jika terjadi keadaan darurat—meskipun dalam kasus ini, dana pelanggan tidak terpengaruh.

Didirikan pada tahun 2018, CoinDCX meroket pesat menjadi unicorn kripto pertama di India pada tahun 2021 setelah mengumpulkan $90 juta dengan valuasi $1.1 miliar. Pada tahun 2022, putaran pendanaan $135 juta lainnya hampir menggandakan valuasinya menjadi $2.15 miliar.

Pada Juli 2024, CoinDCX mengakuisisi BitOasis yang berbasis di Dubai, sebuah langkah yang menandakan niat perusahaan untuk berekspansi secara global. Namun, pelanggaran baru-baru ini membayangi ambisi tersebut. 

Momen Peringatan bagi Kripto India

Peretasan ini terjadi hampir tepat satu tahun setelah runtuhnya WazirX, bursa terkemuka India lainnya yang mengalami kerugian $230 juta akibat pelanggaran yang dikaitkan dengan Lazarus Group Korea Utara. Serangan tersebut mengakibatkan penutupan platform dan rencana restrukturisasi yang gagal, dengan hanya $3 juta yang berhasil dipulihkan hingga saat ini.

Meskipun belum jelas apakah peretasan CoinDCX terkait dengan pelaku yang sama, terdapat beberapa kesamaan yang perlu diperhatikan: pelanggaran akun operasional, pengungkapan yang tertunda, dan ketergantungan pada Tornado Cash. Sejauh ini, belum ada kelompok negara-bangsa yang disalahkan.

Masalah Sentralisasi

Meskipun CoinDCX bersikeras pada arsitekturnya yang tangguh, insiden ini mengungkap kerentanan signifikan dalam cara bursa terpusat mengelola dompet operasional. Akun yang diretas hanya digunakan untuk likuiditas di platform mitra, tetapi menyimpan puluhan juta dolar—cukup untuk menarik penyerang canggih.

Kritik semakin bertambah dengan kebijakan penarikan kripto CoinDCX yang restriktif. Pengguna tidak dapat menarik dana secara default. Sebaliknya, penarikan hanya diperbolehkan setelah peninjauan internal berdasarkan penilaian risiko. Kontrol terpusat ini telah memicu perdebatan di komunitas kripto India tentang otonomi dan transparansi pengguna.

Dalam AMA Reddit pada bulan Mei, Gupta membela kebijakan ini dengan mengatakan bahwa kebijakan tersebut mencegah pergerakan dana ilegal. Ia juga mengecilkan kemungkinan serangan ala WazirX terhadap CoinDCX, dengan menyebutkan lapisan keamanan, audit internal, dan standar kepatuhan. Insiden terbaru ini telah membuat klaim-klaim tersebut dipertanyakan.