Aset digital
WazirX Menghadapi Pertarungan Berat Setelah Serangan Siber Besar: Di Mana Kita Sekarang?
Tambahkan Securities.io ke sumber pilihan Anda di Google
Sudah tiga bulan sejak bursa kripto India WazirX diretas sebesar $230 juta, yang mengakibatkan kehilangan lebih dari 40% total kepemilikan pelanggannya.
Ini menjadi kejutan besar dan kerugian bagi industri kripto India, yang menurut perusahaan analitik blockchain Chainalysis dalam ‘2024 Global Crypto Adoption Index‘, menempati peringkat pertama dalam adopsi kripto secara keseluruhan dari 151 negara. Ini menandai tahun kedua berturut-turut negara terpadat di dunia mengklaim posisi teratas.
Aliran masuk dari wilayah Asia Tengah dan Selatan serta Oceania (CSAO), yang mencakup India, dilaporkan mencapai $570 miliar antara Juli 2023 dan Juni 2024. CSAO mencatat tingkat aktivitas yang tinggi pada bursa kripto lokal, dalam DeFi, dan layanan pedagang, menurut laporan.
Sektor kripto India, bagaimanapun, tetap sebagian besar tidak diatur. Namun, pajak sebesar 30% dikenakan pada keuntungan modal dari aktivitas kripto, selain pajak 1% yang dipotong di sumber (TDS) pada setiap transaksi. Perusahaan yang menangani kripto, sementara itu, diwajibkan memperoleh lisensi dari Unit Intelijen Keuangan Nasional (FIU).
Meskipun ada regulasi ini, penipuan dan insiden peretasan terkait kripto terus meningkat di India. Misalnya, investor menyatakan frustrasi di X terhadap bursa yang terdaftar FIU seperti Bitbns, yang membatasi penarikan, menimbulkan kekhawatiran tentang keamanan dana pelanggan. Sementara itu, WazirX, bursa lain yang terdaftar FIU, kehilangan dana pengguna dalam peretasan selama pasar bull.
Dulu termasuk bursa kripto terkemuka di India, WazirX kini terguncang akibat konsekuensi serangan siber besar yang terjadi pada 18 Juli.
Jadi, apa sebenarnya yang terjadi selama ini? Kemajuan apa, jika ada, yang telah dicapai WazirX dalam tiga bulan terakhir? Mari kita lihat!
Ringkasan: Semua yang Terjadi dalam 3 Bulan Terakhir
Untuk merangkum, sebuah dompet multi-sig milik WazirX diretas. Dompet ini dikelola menggunakan layanan Liminal, perusahaan kustodi aset digital.
Pada hari peretasan, WazirX mengklaim bahwa serangan disebabkan oleh “ketidaksesuaian” antara isi transaksi sebenarnya dan apa yang ditampilkan oleh antarmuka Liminal. Bursa kemudian mengakhiri hubungannya dengan Liminal dan memindahkan dana ke dompet multisig baru.
Selanjutnya, WazirX menggunakan Mandiant Solutions, anak perusahaan Google, untuk melakukan analisis forensik pada laptop yang digunakan untuk menandatangani transaksi. Investigasi menemukan tidak ada bukti bahwa perangkat dan sistem WazirX dikompromikan selama peretasan. Sementara itu, Liminal melibatkan perusahaan audit raksasa Grant Thornton untuk melakukan analisis mereka sendiri, yang membersihkan penyedia kustodi dari segala kesalahan.
Sementara kedua perusahaan saling menyalahkan atas kegagalan keamanan dalam upaya menghindari tanggung jawab, pengguna dibiarkan kecewa, kehilangan seluruh kekayaan mereka.
Jumlah yang dicuri sebesar $230 juta, yang menurut kepemilikan yang dilaporkan WazirX pada awal Juni sebesar 503,64 juta USDT, mewakili 45,6% dari total asetnya. Aset yang dicuri termasuk Ethereum (ETH), Tether (USDT), Pepe (PEPE), dan Gala Games (GALA).
Aktor yang didukung negara seperti North Korean Lazarus Group, yang terkenal karena pencucian aset curian lintas yurisdiksi, dicurigai terlibat dalam pelanggaran WazirX.
Peretas telah selesai mencuci semua dana yang dicuri. Data dari Arkham menunjukkan dana mulai bergerak pada Agustus, dengan peretas meningkatkan aktivitasnya bulan lalu.
Untuk mencuci dana yang hilang, peretas menggunakan crypto mixer Tornado Cash, yang menyamarkan asal dana. Layanan privasi ini telah umum digunakan oleh penjahat untuk memindahkan dana curian sambil menjaga jejak online tetap bersih. Pengembang Tornado Cash, Alexey Pertsev, sebenarnya dijatuhi hukuman lima tahun empat bulan penjara setelah hakim Belanda menemukan dia bersalah atas pencucian uang.
Kembali ke WazirX, tepat setelah peretasan, bursa menghentikan semua penarikan kripto dan fiat, yaitu Indian Rupee (INR), meninggalkan pengguna terdampar. Sejak itu, WazirX telah mengumumkan penarikan INR secara bertahap dan terbatas, mencatat pengguna yang memenuhi syarat dapat “menarik hingga batas penuh 66% dari saldo INR mereka.”
Sementara penarikan INR parsial telah dilanjutkan, penarikan kripto tetap ditangguhkan karena WazirX bekerja mengkonsolidasikan saldo dompet dan memulihkan akses pengguna. Pada konferensi pers virtual, penasihat perusahaan menyatakan bahwa WazirX mungkin hanya dapat mengembalikan 55-57 persen dari modal.
Mengenai pemulihan aset, bursa awalnya mengusulkan “Strategi Kerugian Sosialisasi,” di mana pihak yang merugi dapat memperoleh sedikit lebih dari setengah kepemilikan mereka sementara sisanya dikunci. Bursa menerima banyak kritik dari pengguna dan pesaing atas rencana yang diajukan pada akhir Juli, bulan ketika WazirX diretas.
Sejak itu, WazirX lambat memberikan pembaruan tentang rencana pemulihan, bukti cadangan langsung (live proof-of-reserves), dan identitas pelaku yang tidak diketahui.
Perselisihan hukum dengan pesaing CoinSwitch atas $9,7 juta dana yang terkunci juga memperumit proses. CoinSwitch menuntut WazirX untuk memulihkan dana yang terjebak, yang menurut bursa, berjumlah sekitar 2% dari seluruh dana mereka.
“Sejak kejadian itu, kami telah berusaha terus berhubungan dengan tim WazirX, mencari pemulihan dana yang terjebak di bursa mereka. Namun, upaya kami belum membuahkan hasil, sehingga kami tidak punya pilihan selain mengambil tindakan hukum untuk memulihkan dana.”
– menulis CoinSwitch dalam sebuah posting pada 28 Agustus
Bursa perdagangan mengklaim menggunakan perbendaharaan miliknya sendiri untuk memastikan kepemilikan kripto pengguna sepenuhnya didukung.
Pemulihan: Mengejar Proses Restrukturisasi Utang
Setelah menunggu lama, bursa mengumumkan rencana pemulihan asetnya, yang akan dijalankan sebagai ‘Singapore Scheme of Arrangement.’ Ini berarti kepemimpinan WazirX akan mengajukan proposal restrukturisasi utang, yang akan dipilih oleh pengguna sebelum disetujui oleh pengadilan.
Meskipun langkah besar ke depan, tidak ada garis waktu yang jelas diberikan, yang membuat pengguna WazirX bingung dan marah. Menurut posting blog WazirX, mereka memperkirakan “setidaknya 6 bulan untuk mempertimbangkan syarat rencana restrukturisasi dan bekerja dengan pemangku kepentingan terkait.”
Pengguna juga kebingungan dengan keputusan WazirX membawa masalah ini ke pengadilan asing. Menanggapi hal itu, pada akhir September, bursa memposting video di X (sebelumnya Twitter) dimana menjelaskan bahwa mereka beroperasi melalui dua entitas: Zettai, yang terdaftar di Singapura, dan Zanmai, yang merupakan entitas India dan menangani operasi INR-ke-kripto.
Karena peretasan terjadi pada Zettai, yang menangani kripto dan token, bursa mengajukan kasus di Singapura.
Dia lebih lanjut menjelaskan bahwa pada Nov. 2019, Zettai mentransfer dompet kripto dan tokennya ke Binance, bursa kripto terkemuka dunia. Langkah ini mengikuti akuisisi yang mentransfer kepemilikan dan kontrol platform ke Binance, klaim video yang diposting oleh WazirX. Namun, pada 2022, Binance secara publik memisahkan diri dari WazirX, menghasilkan perselisihan antara Zettai dan Binance, yang menyebabkan dana dipindahkan kembali ke Zettai.
Karena Zanmai tidak terpengaruh oleh pelanggaran, perusahaan memiliki dana yang cukup untuk menutupi semua saldo INR pengguna. Meskipun begitu, bursa sebelumnya menyatakan bahwa “tidak semua saldo ini saat ini tersedia untuk penarikan,” menambahkan bahwa sekitar 34% dari mereka dibekukan dan oleh karena itu tidak tersedia untuk penarikan.
Keterlibatan perusahaan yang berkelanjutan dalam perselisihan dan penyelidikan oleh otoritas telah disebut sebagai alasan dana dibekukan. WazirX, bagaimanapun, mempertahankan bahwa Zanmai bukan target penyelidikan tersebut dan mengklaim bahwa saldo INR aman, meskipun belum jelas kapan mereka akan sepenuhnya dilepaskan.
Pada akhir Agustus, WazirX mengajukan restrukturisasi di pengadilan Singapura, mencari moratorium—penangguhan sementara dari proses hukum—sementara mereka merestrukturisasi bisnis.
Hakim mengatakan WazirX bertindak dengan “niat baik” dengan mengajukan moratorium, yang menurut co-founder Nischal Shetty, akan memberi perusahaan “jalan tercepat, paling adil, disetujui kreditor, secara hukum mengikat untuk resolusi dimana kreditor memiliki pilihan token dan potensi kenaikan di pasar bull.”
Tiga minggu lalu, pengadilan Singapura memberikan moratorium selama empat bulan kepada bursa, bukan moratorium enam bulan yang diminta.
Tindakan ini, menurut WazirX, membuka jalan bagi resolusi tercepat untuk mengembalikan saldo kripto, “menjamin hasil yang adil dan tepat waktu bagi semua pemangku kepentingan.”
Moratorium juga datang dengan kondisi. Ini termasuk mempublikasikan alamat dompet melalui afidavit pengadilan, mengungkapkan informasi keuangan, menanggapi pertanyaan pengguna yang diajukan di ruang sidang, dan memastikan pemungutan suara masa depan untuk aplikasi pengadilan diawasi oleh pihak independen.
https://www.youtube.com/live/DPT9VZ9yhE4
Jadi, WazirX telah menyelenggarakan Town Halls untuk membahas restrukturisasi yang diusulkan dan aplikasi moratorium dengan penggunanya.
“Kami berterima kasih atas keputusan pengadilan, yang memungkinkan kami fokus pada jalur resolusi, pemulihan, dan restrukturisasi kami.”
– Co-founder WazirX Shetty berkata pada saat itu
Terbaru: Daftar 240.000 Dompet & Saldo
Sekarang, bulan ini, bursa sibuk membentuk Komite Kreditur (COC) yang akan mewakili kepentingan kreditur dalam restrukturisasi yang diusulkan Zettai. Panel 10 anggota akan terdiri dari pengguna yang terdampak peretasan dan akan menghadiri pertemuan, memberikan umpan balik, memantau kemajuan, dan memfasilitasi komunikasi antara kreditur dan perusahaan.
WazirX restrukturisasi saat ini dikelola oleh firma penasihat Kroll sambil menggunakan layanan firma keamanan web zeroShadow untuk melacak aset yang dicuri.
“Di WazirX, kami selalu percaya bahwa transparansi adalah kunci untuk membangun dan mempertahankan kepercayaan dengan pengguna kami.”
– Bursa menulis di X pada hari Rabu
Dalam pernyataan resmi mereka, WazirX menunjuk pada afidavit yang akan diajukan ke Pengadilan Tinggi Singapura dan diberikan kepada kreditur, menampilkan detail sekitar 240.000 dompet dengan saldo.
Dalam antisipasi pengguna yang mempertanyakan banyaknya dompet yang dikelola, bursa menjelaskan bahwa ini adalah praktik standar untuk platform yang melayani sekitar 4,3 juta pengguna. Mengelola basis pengguna sebesar itu memerlukan jaringan kompleks alamat dompet di berbagai untuk menawarkan pengalaman yang mulus, catatnya.
WazirX lebih lanjut menyatakan bahwa sebagian besar dompet telah dikonsolidasikan, menyisakan sekitar 240.000 dompet dengan saldo token. Bursa, bagaimanapun, masih dalam proses mengkonsolidasikan saldo token dari alamat yang tersisa, proses yang memakan banyak waktu dan melibatkan biaya jaringan, yang juga naik jika proses dipercepat.
“Prioritas kami adalah mengelola proses ini secara efisien tanpa meningkatkan biaya, memastikan dana Anda tetap aman dan pemulihan Anda optimal.”
– WazirX
Sekarang, dalam langkah selanjutnya, bursa akan memperkenalkan Proof of Reserves (POR) untuk lebih meningkatkan kepercayaan dan keamanan dalam cara mereka mengelola aset pelanggan. Langkah ini melibatkan konsolidasi komprehensif aset token dengan kustodian pihak ketiga dan penyedia layanan.
Sementara bursa terus maju dengan restrukturisasi, mereka sudah menghadapi masalah, telah mengirim email tidak akurat kepada ribuan pengguna. Email konfirmasi dimaksudkan hanya untuk mereka yang mendukung moratorium perusahaan melalui survei informal, tetapi WazirX malah mengirimkannya kepada pengguna yang tidak mendukung penangguhan proses hukum.
“Zettai menyadari bahwa email yang dimaksudkan hanya untuk pengguna yang sebelumnya menyatakan dukungan mereka terhadap moratorium secara keliru dikirim kepada sekitar 9.000 pengguna platform tambahan yang tidak menyatakan dukungan.”
– Perusahaan mengungkapkan dalam sebuah transkrip
Hal ini menyebabkan kebingungan di antara pengguna, dengan perusahaan mengakui bahwa hal ini mungkin telah “mempengaruhi kepercayaan pengguna” pada proses polling.
WazirX telah menyebarkan survei pengguna untuk mengukur potensi minat jika pengguna mereka mendukung aplikasi moratorium. Survei awalnya hanya memiliki satu opsi, yaitu untuk secara positif mengonfirmasi dukungan terhadap prosedur hukum, tetapi atas arahan pengadilan, bursa memperbarui survei dengan beberapa opsi untuk juga menyertakan penolakan dan tidak mengambil posisi pada aplikasi.
Jalan ke Depan: Di Tengah Tantangan Hukum dan Keuangan
Dalam restrukturisasi yang direncanakan, WazirX berharap dapat mengembalikan sekitar setengah aset pelanggannya dan menyebarkan dampak peretasan di antara pengguna sehingga mereka dapat menerima bagian “proporsional” dari aset kripto yang tersedia.
Sementara semua ini berlangsung, bursa juga sedang berdiskusi dengan berbagai pemain di industri, mencari “pahlawan putih” untuk membantu pembiayaan.
“Bisakah Anda menjual sesuatu yang Anda klaim tidak Anda miliki? Bisakah seseorang berinvestasi atau membeli perusahaan yang kepemilikannya diperselisihkan dan sedang diselidiki oleh ED atas pelanggaran FEMA? Meskipun data menguntungkan dari 16 juta pengguna, tidak ada yang ingin mencampuri hal ini.”
– Media lokal melaporkan seorang pendiri bursa kripto lain yang mengatakan
Selain kolaborasi dengan pahlawan putih, platform telah bekerja meningkatkan pemulihan dana pengguna melalui pembagian keuntungan dari pembukaan kembali bursa serta inisiatif baru yang menghasilkan pendapatan.
Di tengah ini, WazirX menghadapi tindakan hukum dari pengguna yang tidak puas. Pada 18 Oktober, Pengadilan Tinggi Delhi mendengar petisi dari seorang investor WazirX yang menuntut tindakan terhadap bursa karena menggabungkan dana pengguna yang terdampak dan tidak terdampak untuk mengkompensasi kerugian, yang menurut penggugat berdampak negatif pada investor yang dananya belum terkompromi.
Sementara penggugat telah menghubungi otoritas terkait, tidak ada tindakan yang diambil, dengan penggugat menuduh bahwa dia telah diberitahu secara lisan bahwa masalah ini tidak akan dilanjutkan karena keterlibatan ‘pejabat pemerintah.’
Pengadilan kini memerintahkan polisi untuk menyelidiki dan memberikan laporan, menyebutkan bahwa setiap proses hukum terhadap bursa akan menjadi perkara sipil. Selanjutnya disimpulkan bahwa keluhan harus diajukan di pengadilan sipil bukan melalui petisi.
Di tengah semua ini, pendiri bursa telah bertemu dengan pejabat pemerintah untuk memberikan semua informasi yang diperlukan tentang peretasan dan pencurian aset kripto.
Pejabat tersebut meliputi:
- FIU, di bawah Kementerian Keuangan, yang menangani transaksi keuangan yang dicurigai
- Biro Intelijen (IB), yang meninjau keamanan dan kontra intelijen di bawah Kementerian Keuangan
- Indian Computer Emergency Response Team (CERT-In), yang menangani ancaman keamanan siber
Secara keseluruhan, peretasan WazirX mengguncang sektor kripto India secara keras. Insiden ini tidak hanya menyoroti kerentanan bursa dalam menghadapi serangan siber tetapi juga mengungkap keadaan industri aset digital di India, yang memimpin dalam adopsi kripto namun sangat tertinggal dalam kejelasan regulasi dan perlindungan konsumen.
Seiring bursa berjuang memulihkan kerusakan finansial dan reputasi, upaya restrukturisasi mereka memberikan secercah harapan bagi pengguna. Namun, itu hanyalah harapan saat ini. Dengan WazirX menghadapi sengketa hukum, ketidakpuasan pengguna, dan ketidakpastian kepemilikan, jalan menuju pemulihan tidaklah mulus.
Bulan-bulan mendatang akan menjadi krusial dalam menentukan apakah WazirX dapat membangun kembali kepercayaan dan memulihkan posisinya di pasar kripto India yang berkembang pesat atau apakah ia akan menjadi kisah peringatan lain di industri.
