Peretas Bitget telah mengonversi USDC hasil curian menjadi ETH setelah pelanggaran yang oleh bursa tersebut ditaksir bernilai sekitar $351,6 juta, memunculkan kembali pertanyaan tentang kapan Circle membekukan dana yang terkait dengan sebuah serangan.
Peneliti keamanan Taylor Monahan menandai aktivitas penyerang di X, dengan menunjukkan pergerakan USDC melalui wallet saat aset curian dikonversi menjadi ETH. Monahan mempertanyakan mengapa dana tersebut masih bisa dipindahkan meskipun Circle memiliki kemampuan untuk memblokir transfer dari alamat USDC tertentu.
Menurut penjelasan Monahan, transaksi tersebut menunjukkan bahwa penyerang menggunakan USDC selama proses konversi. Kritiknya berfokus pada respons Circle terhadap dana yang dapat diidentifikasi, meskipun catatan publik atas transfer tersebut tidak menetapkan apakah Circle telah menerima perintah hukum terkait alamat-alamat itu atau kapan Circle mengetahui identitasnya.
Bitget mengatakan sistem keamanannya mendeteksi transfer tidak sah dari sejumlah hot wallet pada pukul 18:31 UTC, 24 September. Bursa itu mengaktifkan respons darurat, menangguhkan penarikan pelanggan, dan memperkirakan aset yang terdampak bernilai sekitar $351,6 juta. Deposit dan trading tetap tersedia, sementara Bitget mengatakan saldo akun akurat dan cold wallet-nya aman.
Dalam laporan awalnya mengenai pelanggaran tersebut, crypto.news memberitakan penjelasan CEO Bitget Gracy Chen tentang investigasi pendahuluan. Chen mengatakan para penyelidik telah mengesampingkan kebocoran private key wallet dan meyakini para penyerang telah masuk ke sistem bursa untuk memindahkan dana secara langsung, tanpa mengajukan permintaan penarikan pelanggan. Bitget masih menyelidiki titik masuk serangan dan belum merilis penjelasan final mengenai insiden tersebut.
Pencurian ini melibatkan beberapa aset, sehingga penyelidik harus menelusuri lebih dari satu jalur dana curian. Pelacak on-chain Lookonchain memperkirakan portofolio yang dicuri bernilai sekitar $356,8 juta dengan menggunakan harga pada saat pembaruannya. Rinciannya mencakup 102,93 juta XRP senilai sekitar $157,48 juta, 31.890 ETH senilai sekitar $85,75 juta, dan 21,05 juta USDC. Estimasi on-chain Lookonchain yang berubah-ubah dan angka kerugian internal Bitget menggunakan pengukuran yang berbeda.
Bitget mengatakan pihaknya telah menandai alamat yang terkait dengan transfer abnormal tersebut dan memberi tahu penegak hukum serta firma keamanan on-chain. Chen mengatakan langkah-langkah untuk mencegah arus keluar lebih lanjut telah diselesaikan, sementara para engineer bekerja pada perbaikan dan pemulihan layanan penarikan.
Kekhawatiran Monahan berpusat pada porsi aset curian yang disimpan dalam USDC. Ketentuan USDC milik Circle menyebutkan bahwa penerbit berhak memblokir transfer ke dan dari alamat on-chain tertentu berdasarkan kebijakan blocklisting-nya. Namun, begitu seorang penyerang menukar USDC menjadi ETH, pemblokiran pada alamat USDC tidak dapat membekukan ETH yang diterima dari perdagangan tersebut.
Circle menjelaskan standar yang lebih sempit untuk menggunakan kontrol teknisnya dibandingkan yang diinginkan para pengkritiknya saat eksploit masih berlangsung. Dalam pernyataan bulan April mengenai intervensi yang sah, yang dipublikasikan setelah peretasan Drift Protocol, perusahaan mengatakan bahwa mereka menggunakan kemampuan pembekuannya ketika diwajibkan secara hukum oleh otoritas yang berwenang. Circle berargumen bahwa membiarkan penerbit memutuskan sendiri aset siapa yang harus diblokir dapat menempatkan hak kepemilikan pemegang yang sah dalam risiko.
Ketentuan USDC-nya juga menyebutkan bahwa Circle dapat diwajibkan membekukan token setelah menerima perintah hukum dari otoritas pemerintah yang sah. Ketentuan itu secara terpisah juga mencadangkan hak untuk memblokir alamat tertentu yang menurut penilaian Circle mungkin terkait dengan aktivitas ilegal atau pelanggaran terhadap ketentuannya. Ketentuan tersebut menyatakan bahwa transaksi USDC on-chain tidak dapat dibatalkan atau ditarik kembali setelah dimulai.
Ketentuan-ketentuan itu penting bagi pemegang di AS karena Circle menerbitkan stablecoin yang didukung dolar dan digunakan di berbagai bursa serta aplikasi terdesentralisasi, sementara keputusan pembekuannya dapat memengaruhi akses terhadap token di alamat tertentu. Kebijakan yang dinyatakan Circle menempatkan proses hukum sebagai inti dari keputusan tersebut. Kritik Monahan berfokus pada waktu yang tersedia untuk melakukan intervensi sebelum penyerang yang diduga menyelesaikan pemindahan atau swap USDC.
Circle mengatakan dalam pernyataannya pada April bahwa alat untuk intervensi yang lebih cepat memang ada, tetapi kerangka hukum untuk tindakan yang lebih cepat dan terkoordinasi sambil tetap melindungi hak pengguna masih belum lengkap. Perusahaan itu menyerukan aturan yang lebih jelas dan langkah-langkah keamanan di seluruh protokol, wallet, bursa, dan penerbit stablecoin.
Penyelidik on-chain ZachXBT menuduh pada April bahwa Circle mengambil tindakan minimal atau gagal bertindak cukup cepat dalam 15 kasus yang melibatkan lebih dari $420 juta aliran USDC ilegal yang diduga terjadi sejak 2022. Daftarnya mencakup kasus peretasan dan penipuan di mana, menurutnya, dana curian tetap dapat dipindahkan meskipun ada waktu untuk mengidentifikasi aktivitas tersebut.
Seperti yang sebelumnya diberitakan crypto.news, ZachXBT menyebut sekitar $9 juta dalam USDC yang terkait dengan peretasan GMX pada Juli 2025 dan mengatakan wallet yang terlibat dalam peretasan Cetus baru diblokir setelah USDC curian telah dikonversi menjadi ETH. Dia juga menuduh bahwa penyerang dalam kasus Drift memindahkan sekitar $232 juta selama kurang lebih enam jam dan lebih dari 100 transaksi sebelum mengonversi dana tersebut.
Transfer terkait Drift kemudian menjadi subjek perkara perdata di AS. Pada April, seorang penggugat menggugat Circle atas transfer yang terjadi setelah eksploit tersebut, dengan tuduhan bahwa penerbit gagal menghentikan sekitar $230 juta USDC curian yang dirutekan melalui Cross-Chain Transfer Protocol miliknya. Gugatan yang diajukan di pengadilan distrik federal di Massachusetts itu berargumen bahwa intervensi yang lebih awal dapat mengurangi kerugian. Itu adalah tuduhan dari pihak penggugat, bukan putusan pengadilan yang menyatakan Circle bersalah.
Dalam kasus itu, penggugat juga menunjuk pada pembekuan oleh Circle terhadap 16 wallet terkait USDC yang terhubung dengan perkara perdata AS terpisah yang disegel sebagai bukti bahwa penerbit dapat memblokir alamat. Pernyataan publik Circle pada April, yang dirilis setelah serangan Drift, mengatakan bahwa pembekuan memerlukan otoritas hukum yang sah dan menyerukan struktur hukum yang memungkinkan tindakan lebih cepat dalam insiden-insiden mendatang.
ETH
USDC