Platform perdagangan kripto terkemuka BloomTrading mengonfirmasi adanya insiden pelanggaran keamanan serius setelah peretas mengeksploitasi kerentanan pada modul integrasi perangkat lunak pihak ketiga dan menguras sebanyak 9.408 Solana (SOL) dari dompet pengguna pada Senin (26/10/2026). Total kerugian finansial akibat aksi pembobolan tersebut ditaksir mencapai $947.000 hingga $954.000 berdasarkan kalkulasi harga pasar spot saat transaksi penarikan tanpa izin berlangsung. Aksi peretasan ini secara spesifik berdampak langsung terhadap 49 alamat dompet yang tercatat sebagai milik sembilan nasabah terverifikasi. Pihak manajemen BloomTrading menegaskan bahwa seluruh kunci privat (private key) sistem tidak mengalami kebocoran dan platform berkomitmen memberikan ganti rugi penuh kepada seluruh korban.
Kronologi Eksploitasi Modul dan Pembobolan 49 Dompet
Berdasarkan laporan investigasi internal awal yang dirilis platform, serangan siber terkoordinasi ini bermula ketika pelaku berhasil menemukan dan mengeksploitasi celah logika pada modul eksternal yang menghubungkan antarmuka perdagangan dengan fungsi penarikan otomatis. Celah arsitektur tersebut memungkinkan pelaku memicu serangkaian instruksi transfer ilegal secara cepat tanpa harus melewati prosedur otentikasi lapis ganda maupun otorisasi manual dari sistem penyimpanan dingin (cold storage) bursa.
Insiden pengurasan saldo (wallet drain) ini menyasar 49 alamat dompet yang dimiliki oleh sembilan entitas pengguna aktif. Pelaku secara terencana memindahkan aset 9.408 SOL dalam waktu yang relatif singkat guna menghindari deteksi dini oleh algoritma mitigasi risiko internal. Tim teknis BloomTrading segera merespons peringatan anomali dengan memutus koneksi modul pihak ketiga yang bermasalah serta mengisolasi aliran transaksi, sehingga potensi kerugian yang lebih luas pada kolam likuiditas utama platform dapat dicegah secara efektif dan cepat.
Integritas Kunci Privat dan Komitmen Ganti Rugi Penuh
Dalam pernyataan resminya, tim pengembang dan manajemen BloomTrading menegaskan bahwa insiden ini murni merupakan kerentanan pada tingkat perangkat lunak pihak ketiga dan sama sekali bukan akibat kebocoran kunci privat pengguna maupun brankas penyimpanan korporasi. Seluruh kredensial kriptografi, kata sandi terenkripsi, dan infrastruktur multi-signature platform dinyatakan tetap dalam kondisi aman dan tidak pernah diakses oleh pihak luar yang tidak berwenang.
Untuk memulihkan kepercayaan komunitas serta menjaga kepatuhan operasional, BloomTrading secara terbuka menjanjikan penggantian dana atau reimbursement sebesar 100% kepada sembilan nasabah pemilik 49 dompet yang terdampak. Manajemen menyatakan bahwa proses pencocokan data transaksi on-chain dan rekonsiliasi saldo tengah berlangsung intensif agar dana kompensasi dapat segera didistribusikan langsung ke alamat pengguna tanpa hambatan administratif yang berkepanjangan bagi seluruh pemilik akun.
Analisis Forensik On-Chain dan Mitigasi Keamanan Ekosistem
Pelacakan forensik on-chain independen mengungkapkan bahwa pelaku segera mentransfer dana curian senilai sekitar $954.000 ke sejumlah dompet penampung baru di jaringan Solana sebelum sebagian dipecah ke berbagai protokol pertukaran terdesentralisasi untuk mengaburkan jejak transaksi. Tim investigasi keamanan siber BloomTrading saat ini telah berkoordinasi secara aktif dengan sejumlah penyedia analitik blockchain dan bursa kripto terpusat untuk memasukkan alamat-alamat peretas tersebut ke dalam daftar hitam (blacklist) pemantauan kepatuhan global.
Insiden ini kembali menjadi pengingat penting bagi industri aset digital mengenai besarnya risiko ketergantungan pada pustaka atau perangkat lunak pihak ketiga (supply chain risk) dalam ekosistem Web3 modern. Sebagai langkah pencegahan jangka panjang, BloomTrading memutuskan untuk menonaktifkan seluruh dependensi modul eksternal yang belum diaudit ulang secara menyeluruh, meningkatkan protokol pengujian penetrasi berkala, serta memperketat pembatasan batas penarikan per jam sebelum mengaktifkan kembali fitur transaksi perdagangan secara bertahap.
Sumber: TokenPost
