Pelaku di balik peretasan bursa kripto Bitget senilai $387,5 juta dilaporkan mulai memindahkan aset curian berupa Ripple (XRP) dalam jumlah masif pada Sabtu (26/9/2026). Data onchain menunjukkan sekitar 54 juta XRP senilai $83 juta telah ditarik dari tiga dompet penampung utama menuju serangkaian alamat baru. Berbeda dari aset stablecoin Tether (USDT) dan USD Coin (USDC) yang sebelumnya berhasil dibekukan oleh penerbitnya, koin native XRP pada jaringan XRP Ledger (XRPL) memiliki sifat desentralisasi yang tidak memungkinkan Ripple Labs atau entitas mana pun melakukan pembekuan sepihak, menyulitkan upaya pemulihan dana oleh pihak berwenang.
Kronologi Pengurasan Dompet Penampung di XRP Ledger
Berdasarkan investigasi catatan transaksi buku besar XRP Ledger, peretas awalnya membagi hampir 103 juta XRP hasil jarahan ke dalam lima akun penampung terpisah pada Kamis lalu. Hingga Sabtu pukul 12:41 UTC, dua akun penampung yang masing-masing awalnya menyimpan 20 juta XRP telah dikosongkan hampir seluruhnya, dengan saldo tersisa hanya 23 dan 55 token XRP. Sementara itu, akun penampung ketiga terpantau telah terkuras hingga tersisa sekitar 5,8 juta XRP dari saldo awalnya.
Aktivitas transfer aset curian ini terindikasi mengalami percepatan signifikan sepanjang malam. Pada Sabtu dini hari pukul 04:32 UTC, kelima dompet penampung tersebut masih menyimpan sekitar 70 juta token XRP. Namun, hanya dalam kurun waktu kurang lebih delapan jam kemudian, total saldo di seluruh dompet penampung anjlok drastis menjadi 49 juta XRP (sekitar $75 juta). Pola transaksi menunjukkan peretas berupaya mendistribusikan dana ke berbagai lapisan dompet baru guna mengaburkan jejak onchain sebelum kemungkinan dilikuidasi.
Keterbatasan Protokol XRPL dan Status Pembekuan Aset
Langkah agresif peretas ini menyoroti arsitektur teknis XRP Ledger terkait fitur kontrol aset. Protokol XRPL sejatinya menyediakan fitur "Freeze" yang memungkinkan entitas penerbit (issuer) membekukan token sekunder yang mereka terbitkan di atas jaringan tersebut, seperti mata uang fiat tertokenisasi atau aset sintetis. Kendati demikian, aturan konsensus buku besar menetapkan bahwa fitur pembekuan ini tidak berlaku sama sekali untuk aset native XRP itu sendiri. Akibatnya, Ripple Labs maupun validator independen tidak memiliki otoritas teknis untuk menghentikan transaksi atau menyita saldo token peretas.
Kondisi ini bertolak belakang dengan penanganan token eksternal pascainsiden pembobolan Bitget. Sebelumnya, Circle Internet Financial dan Tether Holdings bergerak cepat membekukan sekitar $320.000 stablecoin USDC dan USDT yang terhubung dengan alamat penyerang melalui fungsi kontrak pintar daftar hitam (blacklist). Tanpa adanya kemampuan blacklist pada level protokol XRP, upaya pemulihan dana kini sepenuhnya bergantung pada bursa kripto terpusat (CEX) yang kelak menerima aliran dana tersebut untuk segera memblokir akun penerima sebelum aset ditarik keluar.
Reaksi Pasar Kripto dan Rencana Pemulihan Operasional Bitget
Di pasar spot, harga token XRP tercatat diperdagangkan di kisaran $1,54 pada Sabtu sore, melemah sekitar 4 persen dalam 24 jam terakhir di tengah kekhawatiran adanya tekanan jual (dumping) mendadak. Kendati demikian, aset kripto besutan Ripple ini masih mempertahankan kenaikan mingguan sebesar 9 persen menurut data agregator CoinGecko. Dengan total volume perdagangan harian XRP global yang mencapai $4,4 miliar, nilai transfer 54 juta XRP ($83 juta) setara dengan sekitar 4 persen dari perputaran harian pasar, sehingga dampak langsung terhadap volatilitas harga akan sangat bergantung pada ketersediaan likuiditas buku pesanan (order book) saat eksekusi jual dilakukan.
Di sisi lain, manajemen Bitget secara resmi telah menaikkan estimasi total kerugian akibat insiden peretasan menjadi $387,5 juta setelah memasukkan penghitungan transfer Zcash (ZEC) dan TRON (TRX) yang luput pada audit awal. Manajemen menegaskan bahwa angka yang membengkak tersebut merupakan bagian dari peretasan tunggal awal dan bukan serangan baru. Bursa juga menegaskan komitmennya bahwa Dana Perlindungan Bitget (Bitget Protection Fund) sepenuhnya menanggung seluruh kerugian pengguna tanpa memengaruhi saldo nasabah. Proses pemulihan penarikan dana dijadwalkan dibuka secara bertahap mulai 28 September untuk Bitcoin, disusul Ethereum pada 29 September, USDT pada 30 September, serta seluruh token lainnya pada 2 Oktober 2026.
