Mengikuti uang curian dari hot wallet Binance, melewati labirin dompet Tron, sampai ke jembatan lintas chain yang tidak bisa diblokir siapa pun.
Dalam sekitar dua puluh menit, aset senilai ±$6,3 miliar keluar dari hot wallet Binance di sepuluh blockchain. Satu transaksi saja bernilai lebih dari $2,5 miliar. Ini pencurian kripto terbesar yang pernah tercatat, kira-kira empat kali hack Bybit pada 2025.
Binance mengaitkan serangan dengan laptop seorang engineer yang sudah dibobol. CEO Richard Teng menyebut pelaku menyerang hot wallet lewat mekanisme EIP-7702. Binance menghentikan perdagangan dan berjanji menutup semua kerugian dari dana cadangannya.
Arkham memberi label "Binance Hacker" pada pelaku dan mencatat penarikan $4,46 miliar dari Binance pada 29–30 Oktober. Begini sebaran isi dompetnya:
Saldo pelaku masih menampilkan 1,77 miliar USDT dan 825 juta USDC. Kemungkinan besar sebagian besar token itu sudah dibekukan Tether dan Circle. Ini cocok dengan klaim Binance soal ±$3 miliar yang dibekukan.
Saat penelusuran dimulai pada Sabtu siang, transfer terbaru pelaku baru berumur 37 detik. Uangnya masih bergerak. Tiga petunjuk muncul dari daftar transfer terbaru:
TRBdWSetiap beberapa menit, satu dompet Tron mengirim paket 260 ribu sampai 724 ribu TRX (±$86 ribu–$237 ribu) ke alamat-alamat baru.
Dompet hacker TNh7o mengirim 10.050 TRX ke T9zpc7…, lalu menerima balik 3,084 TRX. Pola yang sama terjadi dengan TSCNxzX… (balik 3,085 TRX). Bisa jadi ini tanda terima dari penerima dana. Petunjuk ini belum ditelusuri lebih jauh.
9,998 ETH masuk dari THORChain Router ke dompet hacker 0xaf4, kemungkinan refund dari swap yang gagal. Ternyata ini hasil swap yang berhasil.
Target pertama adalah TRBdW. Saldonya masih 81,95 juta TRX (±$26,8 juta), turun 7,4% dalam sehari karena terus dikuras. Dompet ini sudah melakukan 518 transfer keluar, setiap 1–5 menit, dengan jumlah yang tidak pernah bulat: 456.335 TRX, 579.624 TRX, 724.108 TRX.
Pola seperti ini hampir pasti hasil kerja bot. Penerimanya terbagi dua: dompet sesama hacker (TXSt1, TNh7o, THNfe, TYZ98, TNWyD) dan alamat baru tanpa label. Satu alamat baru menerima enam kali dalam satu jam, total ±$605 ribu: THMg4J1….
| Waktu (lalu) | Masuk (TRX) | Keluar (TRX) | Jeda |
|---|---|---|---|
| ±1 jam | 190.040 | 190.039 | <1 mnt |
| 50 mnt | 224.263 | 224.262 | 1 mnt |
| 42 mnt | 465.556 | 465.556 | 3 mnt |
| 32 mnt | 269.248 | 269.248 | 1 mnt |
| 20 mnt | 377.401 | 377.401 | 2 mnt |
| 13 mnt | 326.515 | 326.515 | 2 mnt |
THMg4J1 adalah kurir sekali pakaiSaldonya $0. Setiap dana yang masuk diteruskan utuh dalam 1–3 menit ke satu alamat lain, THqYJJv…. Fungsinya memutus hubungan langsung antara dompet hacker dan tujuan berikutnya.
Dari THqYJJv, dana menyebar ke empat alamat: TH1YKH9, THPaGKe, TGSNahJ, dan TLKfB2g. Dua di antaranya mengirim balik sebagian dana. TH1YKH9 mengembalikan 126.407 dan 72.169 TRX, sedangkan TGSNahJ mengembalikan 16.110 TRX. Jumlah transfernya juga berubah menjadi angka bulat: 160.000, 230.000, 134.000 TRX.
Dana diputar bolak-balik antar-alamat milik pencuci uang untuk mengacaukan jejak. Setelah TH1YKH9 diketahui sebagai vault THORChain, arus balik itu lebih masuk akal sebagai hasil swap atau refund dari protokol.
TH1YKH9 jelas bukan dompet baru. Dompet ini punya 8.052 transfer, aktif sejak paling tidak 11 Oktober, dan memegang 1,8 juta TRX ditambah 49.673 USDT. Setiap menit ada puluhan pembayaran kecil keluar ke banyak alamat.
| Tanggal | Total | Catatan |
|---|---|---|
| 13 Okt | ±$2,5 jt | Lonjakan besar |
| 28 Okt | ±$4,4 jt | Sehari sebelum hack |
| 30 Okt | $4,56 jt | ±97% terjadi sebelum hack |
Menelusuri "pendana pertama" ke belakang memunculkan tiga generasi dompet. Masing-masing aktif beberapa hari, lalu mewariskan sisa saldonya ke dompet berikutnya dan berhenti:
Dana hacker masuk ke TH1YKH9 lewat dua rute terpisah: TRBdW → THMg4J1 → THqYJJv → TH1YKH9 dan TRBdW → TYUEHvw → TH1YKH9 (50.000 TRX). Dua dompet pensiun juga menyisakan saldo identik: 24,388 TRX.
TH1YKH9 adalah meja tukar OTC/P2P milik jaringan pencuci uang. Operatornya merotasi dompet untuk menghindari blokir, dan setorannya ke Binance bisa membuka identitas lewat KYC.
Kembali ke dompet hacker 0xaf4 di Ethereum. Riwayatnya menunjukkan pola yang terlalu teratur untuk sebuah refund. THORChain Router mengirim ETH masuk, dan beberapa menit kemudian 0xaf4 meneruskan jumlah yang sama persis ke alamat yang baru dibuat. Polanya berulang kira-kira tiap 30 menit selama berjam-jam.
Kalau hasil swap datang dalam pecahan, 0xaf4 menjumlahkannya dulu sebelum meneruskan:
| Masuk dari THORChain Router (ETH) | Diteruskan | Ke |
|---|---|---|
| 4,194 + 4,201 + 4,202 | 12,597 | 0x1Ad061… |
| 3,215 + 1,358 + 2,546 + 1,276 + 1,274 | 9,669 | 0x380009… |
| 9,998 + 3,085 | 13,083 | 0xb3d867… |
| 12,116 | 12,116 | 0x4854Bb… |
Halaman transaksi Router 0xff0319… di Arkham memperlihatkan dari mana ETH itu berasal:
THNfe ke TH1YKH9
tx 3281e4…5d8b26
0xaf4
tx 0xff03…6f8518
ETH tidak bisa dibekukan, berbeda dengan USDT atau USDC. Di halaman pertama riwayat 0xaf4 saja, sekitar 119 ETH (±$266 ribu) mengalir lewat jalur ini dalam ±6 jam.
TH1YKH9 adalah vault THORChain di TronTransaksi THNfe → TH1YKH9 adalah setoran swap THORChain. Arkham belum memberi label pada alamatnya, tapi semua keanehan di Bab 3 langsung terjelaskan:
| Temuan | Teori lama | Penjelasan baru |
|---|---|---|
| Ribuan transfer kecil dari banyak alamat | Pelanggan OTC | Pengguna THORChain yang melakukan swap |
| Dompet berganti tiap beberapa hari | Rotasi untuk hindari blokir | Churn vault: THORChain rutin memindahkan dana ke vault baru |
| 48.015 USDT ke "THORChain Vault" | Kebetulan | Migrasi dana antar-vault saat churn |
| $4,56 jt disetor ke Binance | Celah KYC operator | Hasil swap pengguna yang dikirim ke alamat deposit Binance mereka |
| Sisa saldo tetap 24,388 TRX | Skrip yang sama | Cadangan biaya gas vault |
Dompet 0x4854Bb… hanya punya satu transaksi masuk, memegang 12,116 ETH, tidak bergerak selama 5 jam, dan belum diberi label oleh Arkham. Hasil swap dipecah ke banyak dompet baru berisi ±12 ETH (±$27 ribu) lalu didiamkan. Taktik serupa pernah dipakai pada dana hack Bybit 2025.
Mengapa THORChain? Protokol ini terdesentralisasi, tanpa KYC, dan tanpa tombol freeze. Tidak ada pihak yang bisa menghentikan swap seperti Tether membekukan USDT. Pada hack Bybit Februari 2025, THORChain juga menjadi jalur utama untuk menukar dana Lazarus.
| Peran | Alamat | Label Arkham |
|---|---|---|
| Penyebar | TRBdWqHnDVSZCVGfgHdKFLQPirQcA2PRki | Binance Hacker |
| Pengantar ke jembatan | THNfeqzgCRQbtQ9K74EZbi9iSQUuxbaD88 | Binance Hacker |
| Pos penerimaan ETH | 0xaf4F296601E75078Fc1374caee9Cb96950Eb6F85 | Binance Hacker |
| Kurir sekali pakai | THMg4J1sytc6fgFZwqTgiiWJYwyWc3YpYk | Tanpa label |
| Simpul perantara | THqYJJvYRwyFFmtgYxVWtWyiqHTkaf1G99 | Tanpa label |
| Penerima dari TRBdW | TYUEHvwvCCieoMoMtxpbRUSR16VbjZPeP9 | Tanpa label |
| Dugaan vault THORChain (Tron) | TH1YKH9MUuJtDmekPia4x9fZXAcpPrMv8B | Tanpa label |
| Vault generasi sebelumnya | TJ35bL49kvnQLCXW5wioEN5a6ZGw78Z6ET | Tanpa label |
| Vault generasi sebelumnya | TLfoEPJUKH3GSUMvMhV5p9yb6CukCe8s3k | Tanpa label |
| THORChain Router | 0xD37BbE5744D730a1d98d8DC97c42F0Ca46aD7146 | THORChain |
| Dompet parkir ETH | 0x4854BbaAF16585a4cF97250bE0afd0e8500004B6 | Tanpa label |
| Peristiwa | Hash |
|---|---|
| Setoran swap di Tron (THNfe → TH1YKH9) | 3281e4ece0b31c1f…5d8b26 |
| Hasil swap di Ethereum (Router → 0xaf4) | 0xff0319ce4fa42e…6f8518 |
THNfe mengirim 94.800 TRX ke TBAPnuw…? Transaksi ini tidak punya tag THORChain.T9zpc7… dan TSCNxzX… yang mengembalikan ±3 TRX?