Mercado Bitcoin Kena Hack 46 Juta Dolar, Dana Terus Bergerak Meski Penarikan Dibekukan

Mercado Bitcoin, salah satu exchange kripto terbesar di Brasil, mengonfirmasi insiden keamanan pada Senin, 2 November 2026. Analis blockchain memperkirakan dana yang raib mencapai 46 sampai 49 juta dolar AS dari hot wallet di belasan blockchain. Yang membuat kasus ini janggal: sehari setelah exchange mengumumkan penarikan dibekukan, dana yang terkait dengan peretasan itu masih terus bergerak.

Exchange menyatakan tidak ada nasabah yang dirugikan dan berjanji menanggung seluruh kerugian. Tapi sampai artikel ini ditulis, pelaku belum teridentifikasi, metode serangannya belum diungkap exchange, dan penarikan masih ditangguhkan tanpa tanggal pembukaan kembali.

Kronologi: dana keluar semalam, pengumuman baru datang pagi harinya

Berdasarkan penelusuran firma keamanan Hypernative yang dikutip sejumlah media, gelombang utama outflow dari wallet exchange dimulai pada malam 1 November waktu Brasil. Pada pagi 2 November, Mercado Bitcoin mengumumkan insiden di salah satu sistemnya, menyatakan insiden sudah teridentifikasi dan terkendali, serta menghentikan deposit dan penarikan sebagai langkah pencegahan.

Menurut halaman status exchange yang dikutip media Brasil, layanan login, aplikasi mobile, pendaftaran, dan Trade API sudah kembali berfungsi sejak 19.32 UTC pada 2 November, atau sekitar 6,5 jam setelah pengumuman. Namun halaman yang sama tidak menyebut deposit dan penarikan sudah dibuka kembali, dan sampai 3 November belum ada tanggal pembukaan kembali yang diumumkan.

Cara kerjanya: transfer biasa, bukan exploit smart contract

Sejumlah firma keamanan sepakat pada satu hal penting: dana tidak keluar lewat celah smart contract, melainkan lewat transfer biasa. Artinya, pelaku bisa menandatangani transaksi dari wallet exchange itu sendiri. Bagaimana akses itu didapat, entah kunci yang dicuri, sistem penandatanganan yang dikompromikan, atau orang dalam, masih belum diketahui dan belum dijelaskan oleh exchange.

Insinyur senior CertiK, Dickson Wu, dalam post-mortem awalnya menulis bahwa pelaku menguras delapan chain kecil selama sekitar empat jam, termasuk Base, Optimism, dan Arbitrum, sebelum beralih ke hot wallet utama exchange. Setelah itu, ribuan transfer ETH kecil dari 27.160 alamat berbeda mengalir ke satu alamat.

Analisis Bitquery menambahkan detail yang lebih mengkhawatirkan. Menurut Bitquery, peretas menguras 36.042 alamat deposit pelanggan di Ethereum senilai 266 ribu dolar AS antara pukul 12.27 sampai 16.56 UTC pada 2 November, atau sekitar empat jam setelah exchange menyatakan insiden sudah terkendali pada 12.56 UTC. Dari sini Bitquery menyimpulkan pelaku bisa menandatangani transaksi dari alamat deposit exchange. Perlu dicatat, ini adalah penafsiran analis, bukan konfirmasi dari exchange.

Angkanya berbeda-beda, tergantung siapa yang menghitung

Perbedaan estimasi kerugian adalah hal yang wajar pada hari-hari pertama sebuah peretasan, karena tiap firma menghitung dari kumpulan alamat dan waktu yang berbeda. Berikut gambaran per 3 November 2026:

Sumber: CoinDesk, Cointelegraph, Bitquery, Chainalysis, Hypernative. Angka-angka di atas adalah estimasi per 3 November 2026 dan masih bisa berubah seiring penelusuran.

Perkembangan 3 November: 8 juta dolar AS pindah wallet, 106 BTC belum bergerak

Pada 3 November, platform analitik Arkham melaporkan peretas memindahkan sekitar 8 juta dolar AS dalam bentuk ETH ke wallet baru. Transfer terbesarnya sekitar 2.900 ETH atau sekitar 6,52 juta dolar AS. Arkham juga mencatat belum ada setoran ke Tornado Cash yang terkonfirmasi dari wallet pelaku.

Di sisi lain, upaya pembekuan membuahkan hasil parsial. CoinDesk melaporkan 11 juta dolar AS sudah dibekukan dengan bantuan Tether, Circle, dan Chainalysis. Bitquery menghitung 11,4 juta dolar AS yang dibekukan, mayoritas oleh Tether, Circle, dan Paxos, sementara Chainalysis menyebut Tether saja membekukan lebih dari 9 juta dolar AS dengan bantuannya.

Sebagian besar dana masih dikuasai pelaku. Sekitar 106 BTC masih berada di satu alamat Bitcoin yang dikaitkan dengan serangan, dan menurut data Arkham per 3 November, pelaku masih mengendalikan portofolio kripto senilai sekitar 46 juta dolar AS. Menariknya bagi pembaca memecoin, pelacak Lookonchain mencatat pelaku masih memegang lebih dari 1 juta dolar AS dalam bentuk altcoin, termasuk sekitar 372,99 miliar token PEPE senilai sekitar 1,79 juta dolar AS.

Kasus ini terjadi kurang dari tiga hari setelah peretasan Binance senilai sekitar 6,3 miliar dolar AS, yang membuat keamanan hot wallet exchange kembali jadi sorotan. Binance sendiri sudah membuka kembali penarikan pada hari Minggu, sementara FBI menuding kelompok peretas TraderTraitor yang didukung Korea Utara sebagai pelaku. Untuk Mercado Bitcoin, belum ada atribusi pelaku dan belum ada pengumuman bounty.

Kenapa kasus ini penting buat pembaca memecoin.id

Pola yang sama terus berulang di kasus peretasan exchange tahun ini: dana keluar lewat transfer biasa dari hot wallet, pengumuman datang setelah dana telanjur bergerak, dan klaim “sudah terkendali” ternyata tidak menghentikan aliran dana. Kasus CoinDCX yang dituduh kena hack lagi senilai 16 juta dolar AS pada Oktober lalu menunjukkan pola bantahan dan pengakuan bertahap yang mirip, sementara kasus peretas Drift Protocol yang mengirim 122 juta dolar AS dalam bentuk ETH ke Tornado Cash menunjukkan ujung yang berbeda, yaitu dana yang benar-benar masuk ke mixer dan sulit dilacak. Di kasus Mercado Bitcoin, dana sejauh ini belum masuk mixer, sehingga peluang pembekuan masih terbuka.

Yang masih jadi tanda tanya

• Bagaimana pelaku mendapatkan akses penandatanganan ke wallet exchange? Exchange belum mengungkap metode serangan.
• Kapan deposit dan penarikan dibuka kembali? Belum ada tanggal yang diumumkan.
• Apakah klaim “tidak ada nasabah yang dirugikan” akan bertahan setelah audit penuh? Sejauh ini belum ada konfirmasi independen atas klaim tersebut.
• Apakah sisa dana yang belum dibekukan bisa diselamatkan sebelum masuk mixer? Pergerakan 3 November menunjukkan pelaku masih aktif memindahkan dana.

Mercado Bitcoin juga memperingatkan nasabah soal penipuan yang memanfaatkan insiden ini. Exchange menegaskan tidak pernah meminta password atau kode lewat pesan, dan tawaran refund lewat tautan atau WhatsApp adalah penipuan.