Jam Tergelap WazirX: Tinjauan Mendetail tentang Peretasan $230 Juta dan Dampaknya

Pengguna cryptocurrency India mengalami masa sulit karena pertukaran kripto terpusat (CEX) WazirX berjuang menemukan rencana pemulihan untuk pelanggannya.

WazirX adalah salah satu pertukaran kripto terkemuka di India, dengan basis pengguna lebih dari 16 juta. Pada 18 Juli, ia diretas sebesar $230 juta. 

Pelanggaran keamanan memengaruhi salah satu dompet multi-sig WazirX. Sebuah dompet multi-sig membutuhkan beberapa orang untuk menandatangani transaksi sebelum dapat dijalankan. Dalam kasus WazirX, dompet tersebut memiliki lima penandatangan untuk mengamankan aset pengguna. 

Penyerang menguras $100 juta dalam Shiba Inu (SHIB), $52 juta dalam Ether, $11 juta dalam MATIC, dan $6 juta dalam PEPE. Menurut laporan Juni 2024, dana ini mewakili lebih dari 45% dari total cadangan pertukaran sebesar $500 juta.

Menurut pelacak blockchain Lookonchain, pelaku mengonversi sebagian besar dana yang dicuri menjadi Ethereum (ETH). Peretas biasanya menggunakan layanan pencampuran seperti Tornado Cash untuk mengonversi token karena mereka dapat menyembunyikan aktivitas transaksi. 

Pelaku kini memegang lebih dari 59.097 ETH, senilai sekitar $200 juta, dalam berbagai token. Mereka telah menjual token yang dicuri menggunakan DEX populer Uniswap.

Akibat serangan tersebut, token yang terdaftar di bursa diperdagangkan dengan diskon tajam dibandingkan harga lokal dan global karena kurangnya likuiditas. Bursa kemudian menghentikan semua perdagangan serta penarikan crypto dan fiat di platform. Sudah hampir dua minggu sejak WazirX diretas, dan aktivitas tetap dihentikan.

Dengan semua hal dibekukan di bursa, BTC/USDT diperdagangkan pada 64.052 di WazirX dibandingkan 66.687 di CoinDCX. Sementara itu, USDT/INR diperdagangkan pada 88.64 di CoinDCX sementara di WazirX adalah 68.40. Token asli bursa, WZX, meanwhile, telah turun sebesar 36.24% sejak bursa diserang.

Mengenai apa yang terjadi, bursa menyalahkan sebuah “ketidaksesuaian” antara informasi yang ditampilkan pada antarmuka digital Liminal Custody dan isi sebenarnya dari transaksi yang ditandatangani. Bursa mengatakan dalam sebuah posting:

“Kami curiga payload telah diganti untuk mentransfer kontrol dompet kepada penyerang.”  

Sementara itu, Liminal Custody menyalahkan WazirX atas serangan tersebut, mengatakan infrastruktur mereka tidak diretas.

“Sayangnya tiga mesin korban telah ditemukan menyuntikkan payload berbahaya ke dalam transaksi yang menunjukkan serangan canggih, terencana dengan baik, dan terarah pada satu dompet Multi-Sig Gnosis Smart Contract tertentu.”

– Liminal di X

Namun, tidak semua orang puas dengan penjelasan dan permainan saling menyalahkan. Menurut Pankaj Tanwar, seorang YouTuber crypto populer di X:

“Kesalahan ini akan merusak #Crypto di India melampaui imajinasi.”

WazirX Dikecam karena “Strategi Kerugian Sosialisasi”

Mengingat proporsi dana yang dicuri terhadap total cadangan, harapan untuk mendapatkan kembali sebagian pun kecil, yang, ditambah fakta bahwa pelaku telah terhubung dengan Korea Utara, telah sangat menghancurkan harapan pemulihan. 

Sementara bursa telah merilis hadiah $23 juta untuk solusi yang menerima lebih dari 130 entri, mereka mulai mengeksplorasi distribusi dana yang masih utuh.

Untuk itu, WazirX sedang mempertimbangkan mengembalikan 55% dari kepemilikan crypto sambil mengunci sisanya dalam token setara USDT, terlepas apakah token pengguna telah dicuri atau tidak. Ini berarti bahwa bahkan pengguna yang tidak mengalami kerugian dalam peretasan tersebut hanya akan memiliki akses ke 55% aset mereka sementara sisanya akan dikonversi menjadi stablecoin dan dikunci.

Bursa kini menghadapi pengawasan dan tekanan lebih lanjut tidak hanya dari pelanggannya tetapi juga dari industri luas karena “Program Manajemen Penarikan: Polling Opini” ini.

Polling dilakukan pada 27 Juli, selama itu  bursa memperkenalkan sebuah “strategi kerugian sosialisasi untuk mendistribusikan dampak secara adil di antara semua pengguna.” Strategi ini memungkinkan pengguna akses instan ke mayoritas aset mereka sambil “mempertahankan kemungkinan pemulihan lebih lanjut bagi mereka yang memilih menunggu.”

Dalam polling ini, pelanggan diminta untuk memilih di antara dua opsi berbeda. Pada satu opsi, pengguna mendapatkan akses ke mayoritas dana mereka untuk perdagangan, tetapi mereka juga dapat menariknya. Namun, mereka memiliki prioritas kedua untuk dana yang dipulihkan. Sebaliknya, opsi lain tidak mengizinkan penarikan, tetapi pengguna mendapatkan prioritas pertama untuk hasil pemulihan.

Saran ini menyebabkan WazirX menerima kritik dari penggunanya, dengan satu orang mengatakan, “kerugian sosialisasi, keuntungan diprivatisasi.” Orang lain mempertanyakan mengapa pengguna dengan token yang tidak dicuri harus dipenalti.

Bursa crypto pesaing juga menyatakan pendapat mereka tentang langkah terbaru WazirX, dengan co-founder CoinDCX Sumit Gupta mengatakan bahwa keputusan ini “bukan keputusan yang mengutamakan komunitas”. Cara WazirX menangani situasi ini “tidak akan diterima dengan baik oleh mereka,” kata Gupta, menambahkan bahwa itu juga “merugikan peserta ekosistem lainnya.”

Arjun Vijay, co-founder Giottus, mengatakan polling WazirX “tidak dalam kepentingan terbaik ekosistem” karena itu “dirancang untuk memaksa pelanggan” memilih opsi untuk mendapatkan prioritas pada hasil pemulihan.

Co-founder Unocoin Dr. Sathvik Vishwanath juga menyampaikan kekecewaannya atas cara masalah ini ditangani, mengatakan bahwa hal itu “hanya memperburuk situasi” ketika peristiwa tersebut sudah menempatkan industri crypto “dalam masalah.”

WazirX membela diri, mengatakan polling tidak “mengikat secara hukum” melainkan hanya langkah dalam upaya bursa untuk memahami apa yang diinginkan pelanggan. Bursa akan terus mengumpulkan ide dan masukan dari pengguna.

Membicarakan alasan rencana mereka untuk berbagi kerugian, VP WazirX Rajagopal Menon menyampaikan bahwa mereka mempelajari bursa besar lain yang harus menghadapi situasi serupa. Dua peretasan besar yang diteliti adalah Mt. Gox dan Bitfinex. 

Setelah mencakup mayoritas transaksi Bitcoin, Mt. Gox diretas pada 2014 di mana 850.000 BTC hilang. Setelahnya, Mt. Gox bangkrut, dan baru setelah satu dekade, pada Juli 2024, pengguna mulai menerima sebagian kecil dari kepemilikan asli mereka.

Kemudian ada Bitfinex, yang kehilangan 119.756 BTC dalam peretasan 2016. Bursa menangani situasi tersebut dengan menyebarkan kerugian ke semua pengguna, mengurangi saldo sebesar 36%, dan memberikan pelanggannya token BFX yang mewakili kerugian mereka.

Opsi Lain & Bahkan Dana ED Terjebak di WazirX

Selain “strategi kerugian sosialisasi,” bursa telah mengeksplorasi opsi lain, termasuk meminta bantuan Binance. WazirX menghubungi mantan mitranya untuk membantu menolong pelanggannya, menurut laporan media lokal Moneycontrol yang mengutip sumber tak bernama. 

Sumber industri juga mengatakan bahwa Binance mengendalikan surplus pendapatan bursa serta sekitar $80 juta token WRX-nya. Sumber tersebut dilaporkan mengatakan:

“Sengketa hukum mereka masih berlangsung. Ada komponen bisnis WazirX yang masih berada di bawah kontrol Binance, termasuk pendapatan — surplusnya. Bahkan token WRX mereka berada di bawah kontrol mereka. Jadi mereka telah menghubungi Binance dan pembicaraan sedang berlangsung namun pada tahap awal.”

Dalam laporan proof-of-reserves dari Jan. 2023, WazirX mengungkapkan bahwa 90% aset penggunanya disimpan di dompet Binance. Beberapa bulan kemudian, dalam sebuah posting blog, WazirX mengatakan bahwa token aslinya dikendalikan oleh Binance, karena Binance melakukan IEO WRX yang menjual 108.401 token BNB senilai $2 juta, dengan hasilnya “dikumpulkan dan disimpan oleh Binance.”

Semua ini terjadi setelah co-founder WazirX Nischal Shetty terlibat pertengkaran publik di X dengan CEO Binance Changpeng Zhao tentang siapa yang mengendalikan WazirX. Menariknya, pada November 2019, bursa terbesar dunia, Binance, mengatakan bahwa mereka telah membeli WazirX hanya untuk cerita yang berubah ketika, pada musim panas 2022, pejabat India menggerebek kantor WazirX di Mumbai dengan dugaan keterlibatan dalam pencucian uang.

Sebagai respons, Direktorat Penegakan Hukum (ED) India membekukan dana WazirX, dan Kementerian Keuangan negara tersebut mengumumkan penyelidikan terhadap bursa ini di bawah Undang-Undang Pengelolaan Valuta Asing (FEMA).

Sekarang, laporan menunjukkan bahwa bahkan ED memiliki hampir $1,1 juta aset kripto yang disita di WazirX. Dana yang disita dalam kasus korupsi terhadap aplikasi game bernama E-Nuggets dipindahkan ke bursa hanya beberapa bulan sebelum peretasan.

Media India The Print melaporkan bahwa setelah penyelidikan terhadap E-Nuggets, ED meminta semua bursa kripto lokal, termasuk WazirX dan CoinDCX, untuk membantu menemukan akun sumber. Hal ini mengarah pada penemuan Virtual Payment Address (VPA) yang digunakan untuk membeli kripto. Akibatnya, ED membekukan semua dana di 70 akun kripto yang dikelola oleh ZebPay, WazirX, dan Binance berbasis Dubai.

Jadi, setelah menguasai kripto tersebut, pejabat membuka akun kripto untuk ED dan mentransfer semua kripto dengan WazirX karena bursa tersebut bersifat lokal dan memiliki basis pengguna serta likuiditas tertinggi. Namun kini WazirX telah diretas dan kehilangan 45% dananya. Akan menarik untuk melihat apakah otoritas akan maju dan akhirnya memberikan panduan serta bantuan kepada industri.

Bukan berarti peretasan tidak umum di ruang crypto. Tahun lalu, penyerang mencuri $1,7 miliar dari platform crypto, menurut sebuah laporan kejahatan crypto Chainalysis  . Meskipun jumlah yang dicuri dalam serangan semacam itu telah berkurang lebih dari setengah sejak 2022, jumlah serangan tersebut meningkat dari 219 pada 2022 menjadi 231 pada 2023. 

Seiring harga crypto naik secara menyeluruh tahun ini, peretas kembali masuk aksi, dengan $1,48 miliar dicuri tahun ini hingga 24 Juni 2024, dibandingkan $657 juta pada waktu yang sama tahun lalu, menurut TRM Labs. Namun, lima eksploit teratas menyumbang hingga 70% dari total jumlah yang dicuri. Laporan menyatakan:

“Kompromi kunci pribadi dan frasa seed tetap menjadi vektor serangan utama pada 2024 bersama dengan eksploit kontrak pintar dan serangan flash loan.”

Jadi, meskipun peretasan crypto terus terjadi, pemerintah India gagal menyediakan pedoman yang jelas dan mapan sehingga bursa ini tidak beroperasi dengan opasitas.

Industri Crypto India yang Tidak Stabil & Tidak Diatur 

Setelah insiden besar, beberapa bursa bekerja sama dengan WazirX untuk membantu melacak dana yang dicuri dan memulihkan aset pelanggan. Untuk menganalisis serangan siber lebih dalam, perusahaan juga berkolaborasi dengan pakar forensik dan lembaga penegak hukum untuk mengidentifikasi dan menangkap pelaku.

Bursa tersebut juga melaporkan insiden ini ke Indian Computer Emergency Response Team (CERT-In), yang merupakan agen yang bertanggung jawab atas insiden keamanan terkait komputer. Pada langkah selanjutnya, sebuah Laporan Informasi Pertama (FIR) diajukan, yang disiapkan oleh polisi untuk memulai penyelidikan resmi.

WazirX juga mengirimkan laporan insiden ke Financial Integrity Unit (FIU)-India, yang terdaftar dan berada di bawah Kementerian Keuangan. Namun, pelanggaran keamanan WazirX tidak termasuk dalam lingkup FIU karena FIU memantau transaksi di bawah Undang-Undang Pencegahan Pencucian Uang (PMLA) negara tersebut. Menurut Joanna Cheng, Associate General Counsel di Fireblocks:

“Tidak ada regulasi khusus crypto di India sejauh ini, dan industri akan mendapat manfaat dari harapan regulasi yang jelas mengenai isu seperti standar keamanan, manajemen risiko, dan perlindungan konsumen. Intervensi regulasi di ruang ini juga berarti bahwa bursa yang melayani sejumlah besar pelanggan ritel akan dimintai pertanggungjawaban atas tindakan (atau ketidakaksiannya).”

Industri cryptocurrency di India tetap tidak diatur. Satu langkah utama yang diambil selama periode ini adalah keputusan Mahkamah Agung pada 2020 yang membatalkan larangan Reserve Bank of India pada 2018, memungkinkan bank memfasilitasi transaksi crypto dari pengguna dan bursa.

Selain itu, pengembangan regulasi crypto di negara tersebut tidak bergerak. Sejauh ini, belum ada undang-undang yang disahkan untuk mengatur sektor ini, dan crypto tetap sebagian besar berada di luar lingkup otoritas.

Satu-satunya pengawasan regulasi yang ada berasal dari FIU pemerintah India, yang bertugas mengawasi perdagangan aset digital virtual. Menurut sebuah laporan Economic Times dari Mei tahun ini, 47 entitas yang diatur di negara tersebut terlibat dalam perdagangan atau penanganan aset crypto di India. Hal ini terjadi setelah pemerintah melarang platform crypto lepas pantai beroperasi di India karena gagal mematuhi pedoman anti-pencucian uang (AML). 

Meskipun tidak ada perlindungan regulasi bagi pengguna crypto India, pemerintah telah memberlakukan pajak hingga 30% atas keuntungan dari penjualan crypto, tanpa mengizinkan pengimbangan kerugian. Selain itu, pajak 1% dipotong dari sumber untuk setiap transaksi.

Kebijakan ini berdampak negatif pada industri, dengan pengguna crypto mengeluhkan kurangnya dukungan pemerintah yang menghambat industri sambil mengambil bagian besar dari keuntungan mereka dalam bentuk pajak sejak 2022.

Industri crypto India telah lama menderita kurangnya kejelasan regulasi, yang menyebabkan munculnya aktor jahat. Sementara WazirX menjadi korban serangan siber, pengguna juga mengeluhkan bursa seperti BitBNS karena menipu orang.

Entitas terdaftar FIU-India, yang mengiklankan dirinya patuh pada standar global FATF untuk VASP, juga mengalami peretasan $7,5 juta pada 2022. Sejak itu, BitBNS berperilaku buruk, memungkinkan pengguna menyetor dana tetapi tidak memungkinkan penarikan. Pengguna berspekulasi bahwa CEO-nya, Gaurav Dahake, telah sudah melarikan diri dari negara. Awal tahun ini, dalam sebuah wawancara dengan The Economic Times, Dahake memprediksi BTC akan melampaui $100K. Korban saat ini sedang mengeksplorasi gugatan class action terhadap bursa tersebut.

Namun ini bukan semuanya. Bursa crypto di India, termasuk CoinDCX, tidak mengizinkan pengguna untuk meng-self-custody crypto, yang sepenuhnya bertentangan dengan etos crypto. Bursa crypto India tidak mengizinkan transfer crypto ke bursa atau dompet luar jika pengguna melakukan deposit fiat. Hal ini semakin memperburuk masalah karena pengguna tidak dapat meng-self-custody bahkan jika mereka mau, dan itu berarti mereka tidak dapat melindungi diri dari kejadian seperti peretasan WazirX.

Namun, hal ini mungkin akhirnya berubah, dengan negara terpadat di dunia dilaporkan merencanakan untuk menerbitkan makalah diskusi yang menguraikan sikap kebijakan mereka terhadap crypto sebelum September. Namun, pemerintah telah berulang kali mencoba mengatur crypto, tetapi belum ada langkah konkret yang diambil sejauh ini, tidak seperti pedoman jelas yang diperkenalkan regulator di seluruh dunia. Bahkan AS telah menyetujui ETF spot Bitcoin pertamanya, yang telah menarik jutaan dolar dalam total aliran masuk.

Jadi, sampai pemerintah India memutuskan untuk memberikan perhatian dan kejelasan regulasi yang dibutuhkan industri crypto, pengguna crypto lokal dan sektor ini akan terus menderita.

Klik di sini untuk daftar lima bursa crypto terbaik.