Bursa kripto terkemuka asal India, CoinDCX, secara resmi mengonfirmasi kerugian sebesar 15,99 juta USDT (setara Rp250 miliar) akibat serangan siber yang menyasar infrastruktur dompet digitalnya pada jaringan Tron. Pengakuan terbuka yang diumumkan manajemen pada Senin (26/10/2026) ini membalikkan pernyataan sang co-founder sekaligus CEO, Sumit Gupta, yang beberapa hari sebelumnya sempat bersikeras menyebut laporan kebocoran dana tersebut sebagai sekadar alarm palsu. Pihak CoinDCX menyatakan telah menanggung seluruh beban kerugian finansial tersebut menggunakan neraca kas internal perusahaan dan memastikan bahwa saldo aset seluruh nasabah tetap aman tanpa gangguan penarikan.
Kronologi Pembobolan 15,99 Juta USDT di Jaringan Tron
Berdasarkan laporan resmi CoinDCX, insiden pengurasan saldo terjadi pada 21 Oktober 2026 melalui transfer tidak sah pada jaringan blockchain Tron. Manajemen bursa yang berbasis di Mumbai tersebut menelusuri bahwa celah keamanan berasal dari kegagalan proses otomatis internal yang bertugas menyapu sisa setoran pengguna dari dompet-dompet lama yang telah dinonaktifkan (retired wallets). Dompet tersebut merupakan peninggalan dari insiden peretasan besar pada Juli 2025 yang kala itu menelan kerugian sekitar $44 juta.
Meskipun CoinDCX telah menyatakan alamat-alamat tersebut dihentikan penggunaannya pasca-insiden 2025, sejumlah deposit residu dari nasabah rupanya masih terus mengalir ke alamat lawas tersebut. Kegagalan sistem kliring otomatis untuk memindahkan dana secara berkala ke penyimpanan dingin (cold storage) menyebabkan akumulasi 15,99 juta USDT berada dalam posisi rentan hingga akhirnya berhasil dieksploitasi dan dipindahkan oleh penyerang.
Bantahan Awal CEO dan Temuan Investigasi On-Chain ZachXBT
Pengakuan resmi ini mengakhiri spekulasi tajam yang bergulir di komunitas kripto selama beberapa hari terakhir. Ketika platform pelacak Arkham Intelligence dan para peneliti keamanan pertama kali mendeteksi aliran dana mencurigakan sebesar $16 juta, CEO Sumit Gupta sempat membantah keras di platform X. Gupta menegaskan bahwa dompet aktif CoinDCX tidak mengalami kebocoran dan mengklaim bahwa alamat yang terpantau merupakan alamat yang telah disusupi sejak Juli 2025, sehingga aktivitas on-chain tersebut dianggapnya sebagai sinyal keliru atau false alarm.
Namun, narasi bantahan tersebut segera dipatahkan oleh penyelidik on-chain independen terkemuka, ZachXBT. Melalui data transaksi transparan, ZachXBT membeberkan bukti bahwa alamat dompet yang bermasalah tersebut masih aktif melakukan transfer otomatis (sweeping) deposit nasabah ke hot wallet utama CoinDCX hingga periode April dan Mei. Bukti tak terbantahkan tersebut membuat bantahan awal manajemen dipandang sebagai bentuk ketidaksiapan komunikasi krisis dan kelalaian operasional yang fatal, memicu peringatan keras di kalangan investor ritel.
Akumulasi Kerugian $60 Juta dan Evaluasi Kustodi Kripto India
Insiden teranyar ini menambah catatan kelam bagi CoinDCX, yang kini mencatatkan total kerugian siber kumulatif mendekati $60 juta dalam kurun waktu satu tahun terakhir. Pada pembobolan Juli 2025 senilai $44 juta, investigasi internal berujung pada penangkapan seorang oknum karyawan yang dituduh terlibat dalam pembobolan server internal bursa. Kejadian berulang ini menyoroti kelemahan struktural pada manajemen siklus hidup dompet (wallet lifecycle management) serta prosedur mitigasi risiko alamat purnatugas di bursa kripto tier-1.
Meskipun CoinDCX membuktikan ketahanan neraca kasnya dengan menyerap kerugian secara mandiri tanpa membebankan haircut kepada nasabah, peristiwa ini diperkirakan memicu pengawasan lebih ketat dari regulator keuangan India. Insiden ini menjadi peringatan keras bagi industri bursa terpusat global bahwa dompet lama yang ditinggalkan tanpa pemutusan izin sistem kliring yang ketat tetap menjadi vektor serangan berisiko tinggi yang mengancam stabilitas operasional bursa.
Sumber: Decrypt
