Crypto · 5 min read · 3 views
Bitget US$387,5 Jt Hack & Cronos Rollback US$75 Jt: Dua Insiden, Satu Pelajaran — Otorisasi & Finalitas Diuji
Bitget kehilangan US$387,5 juta via spoofed transfer (bukan key theft) dan Cronos rollback 10.961 blok untuk membatalkan eksploit Tectonic US$75 juta — dua insiden minggu ini mengekspos kerentanan lapisan otorisasi custodial dan risiko finalitas blockchain yang bisa ditulis ulang validator kecil.
GD
I Gusti Agung Ganes Satsangga Dipa
Backend & Software Developer
# Pembukaan
Rambatan peretas ke bursa **Bitget** pada 24 September 2026 — kerugian **US$387,5 juta** — menjadi pencurian kripto terbesar tahun ini dan memicu perdebatan mendasar tentang keamanan infrastruktur *custodial* serta keputusan **Cronos** untuk *rollback* rantai guna membatalkan eksploit **Tectonic** sebesar US$75 juta. Keduanya menonjolkan lemahnya lapisan otorisasi di belakang *wallet* panas (*hot/warm*) dan risiko sentralisasi validasi yang memungkinkan sejarah on-chain ditulis ulang.
> **Highlight:** Bitget kehilangan US$387,5 jt via *spoofed transfer* (bukan kunci privat), Cronos *rollback* 10.000+ blok untuk selamatkan US$69 jt — dua insiden terpisah, satu inti: kepercayaan pada lapisan otorisasi & finalitas rantai diuji sekaligus.
<a id="bagian-01"></a>
## 01 — Anatomi Serangan Bitget: *Spoofed Transfer* Bukan *Key Theft*
Peretas tidak mencuri *private key* *cold wallet* Bitget. Menurut CEO **Gracy Chen**, penyerang menyusup ke **sistem *backend* kritis** di infrastruktur *wallet*, memalsukan data transaksi (*spoof*), lalu memicu proses otorisasi internal sehingga *wallet* menandatangani transfer palsu seolah sah [^bitcoin-news][^coindesk-spoof].
Ilustrasi alur:
1. Penyerang eksploitasi *zero-day* pada *third-party security tool* → mendapat kredensial internal tingkat tinggi [^theblock-podcast].
2. Mengirim perintah penarikan palsu ke sistem *signer* Bitget.
3. *Signer* memvalidasi struktur transaksi (format, *gas limit*, *nonce*) — tapi **tidak memverifikasi asal instruksi**.
4. Transaksi ditandatangani & dikirim on-chain; dana keluar dari *hot/warm wallet* ke alamat penyerang.
Bukti on-chain (Hypernative, Bitquery): *gas limit* bulat (100.000, 200.000, 50.000.000) tidak cocok pola *withdrawal* normal Bitget (63.000, 136.620) — sinyal *pre-signing* yang terlewat [^hypernative]. Penarikan berlangsung 18:31–21:23 UTC meski sistem deteksi *flag* pada menit pertama.
| Aspek | Detail |
|-------|--------|
| **Total kerugian** | US$387,5 jt (revisi dari US$351,6 jt setelah ZEC & TRX terdeteksi) |
| **Vektor** | *Spoofed transaction data* via *compromised backend* (bukan *private key*) |
| **Aset terbesar** | ~103 jt XRP (≈ US$157 jt) |
| **Rantai terlibat** | Ethereum, BNB Chain, Arbitrum, Optimism, Avalanche, Base, Zcash, Tron |
| **Dana *frozen*** | Circle (USDC) & Tether (USDT) membekukan sebagian alamat penyerang [^bitcoin-news] |
| **Proteksi pengguna** | *User Protection Fund* > US$464 jt menutupi kerugian penuh [^coindesk-spoof] |
<a id="bagian-02"></a>
## 02 — Cronos *Rollback*: Finalitas Dikorbankan Demi *Containment*
Hanya 5 hari sebelum Bitget (30 Agustus), **Cronos** menghentikan produksi blok & *rollback* **10.961 blok** (~2 jam) untuk membatalkan eksploit **Tectonic** [^crypto-news-cronos][^coindesk-rollback]. Penyerang memanipulasi harga **TONIC** (token *governance* Tectonic) **100× dalam 20 menit** dengan modal ≈ US$600 rb, lalu memasukkan **364,6 triliun TONIC** sebagai *collateral* & meminjam **US$75 jt** aset likuid [^crypto-news-cronos].
Validasi: *oracle* RedStone melaporkan harga pasar akurat; kegagalan ada pada **parameter *collateral factor* 20 % tanpa *borrow cap* terikat likuiditas eksekusi** [^crypto-news-cronos]. Pola identik dengan **Mango Markets 2022** & **Moonwell Base 2026 (MAMO, US$8,7 jt)** — *pump-and-borrow* pada token *governance* tipis likuiditas.
Keputusan *rollback* diambil **validator kecil, tanpa *vote* publik**, berbeda **Ethereum DAO fork 2016** (debat mingguan + *community vote*). Dampak: **semua transaksi legit di jendela 2 jam terhapus** — *bridge*, *trade*, *deploy kontrak* pengguna tak terlibat Tectonic ikut terhapus [^crypto-news-cronos].
<a id="bagian-03"></a>
## 03 — Pola Berulang: *Mango-Style* Masih Berhasil 4 Tahun Kemudian
| Eksploit | Tanggal | Protokol | Token Target | Kerugian | Respons |
|----------|---------|----------|--------------|----------|---------|
| Mango Markets | Okt 2022 | Mango (Solana) | MNGO | >US$100 jt | *Governance vote* → *bad debt*; kasus hukum Avraham Eisenberg |
| Moola Market | Okt 2022 | Moola (Celo) | MOO | ~US$9 jt | *Patch* parameter *collateral factor* |
| Moonwell Base | Agu 2026 | Moonwell (Base) | MAMO | US$8,7 jt | *Borrow cap* → 1 wei (matikan pasar) |
| Tectonic Cronos | Agu 2026 | Tectonic (Cronos) | TONIC | US$75 jt | **Chain *halt* + *rollback* 10k blok** |
Titik kerentanan konstan: **token *governance* likuiditas rendah + *collateral factor* tetap + tanpa *borrow cap* dinamis**. RedStone (oracle Tectonic) menegaskan: *oracle* tidak salah — protokol yang menerima harga tanpa cek *executable liquidity* [^crypto-news-cronos].
<a id="bagian-04"></a>
## 04 — Implikasi: *Custodial Trust*, *Validator Capture*, & *Rollback Precedent*
**Bitget** menunjukkan *custodial exchange* rentan pada **kompromi lapisan otorisasi internal** — *private key* aman, tapi *pipeline instruksi* bocor. **Cronos** menunjukkan **finalitas probabilistik** bisa dibalikkan oleh *validator set* tersentralisasi.
Keduanya mendorong:
- **Bursa**: *pre-signing policy checks* (validasi *gas limit*, *destination allowlist*, *rate-limit* per *signer*) [^hypernative].
- **Protokol *lending***: *borrow cap* terikat *on-chain liquidity* (mis. *TWAP* volume 24-jam × *slippage* tolerable).
- **Rantai *L1* kecil**: transparansi *governance emergency* — *multi-sig timelock*, *public vote*, *state-root commitment* sebelum *halt*.
<a id="bagian-05"></a>
## 05 — Respons Industri & Langkah Mitigasi Konkrit
| Pihak | Tindakan (≤ 1 minggu pasca-insiden) |
|-------|--------------------------------------|
| **Bitget** | *Withdrawal* BTC dibuka 28 Sep, ETH 29 Sep; *Protection Fund* diisi > US$300 jt dalam 1 minggu; *bounty* 5 % *freeze* + 5 % *recovery* [^theblock-podcast]. |
| **Circle / Tether** | *Freeze* USDC/USDT di alamat penyerang Bitget [^bitcoin-news]. |
| **Binance / OKX** | Blokir deposit dari alamat terkait; bantu *trace* on-chain [^theblock-podcast]. |
| **SEAL 911** | *Alert* ke Bitget dalam 90 menit deteksi on-chain [^theblock-podcast]. |
| **Mandiant / SlowMist** | *Forensic* penuh; laporan *root-cause* & *remediation* dijadwalkan [^bitcoin-news]. |
| **Cronos / Crypto.com** | *Post-mortem* teknis & *governance framework* *emergency halt* (belum terbit saat penulisan) [^crypto-news-cronos]. |
<a id="kesimpulan-artikel"></a>
## Kesimpulan
Insiden **Bitget (US$387,5 jt)** & **Cronos/Tectonic (US$75 jt → rollback US$69 jt)** dalam rentang 1 minggu menegaskan: **keamanan kripto bukan soal kriptografi kunci, tapi integritas *software supply chain*, desain *authorization pipeline*, & *governance* *validator***. Tanpa *borrow cap* dinamis & *pre-signing checks* otomatis, pola *Mango-style* akan berulang. Tanpa *emergency governance* transparan, *rollback* jadi *nuclear option* yang merusak kepercayaan finalitas — fondasi *value proposition* blockchain.
<a id="sumber-artikel"></a>
## Sumber
- [Bitget Hit by $351M Hack, Withdrawals Frozen as Probe Begins — Bitcoin.com](https://news.bitcoin.com/security/bitget-hit-by-351m-hack-withdrawals-frozen-as-probe-begins/) — konfirmasi kerugian, *protection fund*, *spoofed transfer*, *GracyChen X posts*.
- [Bitget's $352M Hack Happened via Spoofed Transfers, Not Private Keys — CoinDesk](https://www.coindesk.com/markets/2026/09/25/bitget-s-usd351-million-hack-happened-via-spoofed-transfers-not-private-keys-ceo-gray-chen-says/) — detail vektor *spoof*, *backend compromise*, *North Korea link*.
- [Bitget CEO Gracy Chen Breaks Down $388M Hack — The Block (podcast)](https://www.theblock.co/podcasts/the-starting-block/2026-09-28-bitget-ceo-gracy-chen-breaks-down-388m-hack-417091) — *third-party zero-day*, *withdrawal resume*, *protection fund replenishment*, *ThorChain dispute*.
- [Bitget's $387M Hack: How Spoofed Requests Got Signed — Hypernative](https://www.hypernative.io/insights/blog/how-spoofed-requests-got-bitgets-own-wallets-to-sign-away-387m) — analisis *gas limit* anomali, *pre-signing check* yang terlewat, rekomendasi teknis.
- [Cronos rolled back its chain after $75M hack — crypto.news](https://crypto.news/cronos-rolled-back-chain-75-million-hack-tectonic/) — kronologi *halt/rollback*, mekanisme *TONIC pump*, kritik *oracle vs protocol*, preseden DAO fork.
- [Gracy Chen @Bitget — Security Notice 24 Sep 2026 (X)](https://x.com/GracyBitget/status/2103235655879074084) — pengumuman resmi awal, *protection fund* coverage, komitmen transparansi.
- [Gracy Chen @Bitget — Update 25 Sep 2026 (X)](https://x.com/GracyBitget/status/2103284265563902056) — konfirmasi *spoofed transaction data*, *backend compromise*, *withdrawal restoration* parallel track.
*Disclaimer: Artikel ini bersifat informatif dan bukan nasihat keuangan atau rekomendasi investasi.*
Tags: #Bitget#hack#spoofed transfer#Gracy Chen#Cronos#Tectonic#rollback#blockchain finality#Mango-style exploit#crypto security
GD
Tentang Penulis — Ganes Satsangga
Backend Developer berpengalaman membangun aplikasi web, sistem ERP/CMS, integrasi API, dan database menggunakan Laravel, PHP, dan Go.
