Forensik Peretasan On-chain: Cara Membaca Pencurian $1M+ (Studi Kasus Bybit 2025)

Ketika Lazarus Group Korea Utara membawa pergi $1,5 miliar dari Bybit pada 21 Februari 2025, sebagian besar laporan berhenti pada judul. Tetapi dana itu tidak hilang — mereka berpindah melalui ribuan dompet, melalui mixer, lintas chain, dan setahun kemudian, hanya 3,84% yang telah dibekukan. Kabar baiknya: setiap satu lompatan ada di buku besar publik. Kabar yang lebih baik: Anda dapat membacanya sendiri dengan alat gratis, dalam waktu sekitar sepuluh menit, sebelum mengirim transfer besar Anda sendiri.

Panduan ini melakukan apa yang tidak dilakukan retrospektif Bybit lainnya: ia memandu pembaca individu melalui jejak Etherscan yang sebenarnya, menyebutkan empat alat forensik yang dapat dijangkau pengguna ritel, dan memberi Anda daftar periksa AML pra-transfer yang — seandainya digunakan oleh penanda tangan Bybit — mungkin telah mencegah pencurian crypto terbesar dalam sejarah.

Apa yang terjadi pada 21 Februari 2025

Peretasan Bybit bukanlah eksploitasi smart contract. Itu adalah serangan supply chain front-end — artinya penyerang mengompromikan perangkat lunak yang menghadap pengguna (situs web/aplikasi yang berinteraksi dengan penanda tangan) bukan smart contract yang menyimpan dana. Targetnya adalah Safe{Wallet}, layanan multisig yang digunakan Bybit untuk mengelola perbendaharaan cold-wallet Ethereum-nya. Dua hari sebelumnya, pada 19 Februari 2025 pukul 15:29:25 UTC, operator Lazarus Group menyuntikkan JavaScript berbahaya ke aplikasi Safe{Wallet} di app.safe.global. Dua hari setelahnya, ketika penanda tangan Bybit menyetujui apa yang mereka pikir adalah transfer cold-to-warm-wallet rutin, front-end yang dimodifikasi diam-diam mengubah alamat tujuan. Firma forensik Sygnia mengonfirmasi vektor injeksi JS, dan Internet Crime Complaint Center FBI secara resmi mengaitkan pencurian itu kepada Korea Utara pada 26 Februari 2025.

Apa yang sebenarnya dilihat penanda tangan di layar terlihat seperti transaksi Safe normal. Apa yang sebenarnya ditandatangani multisig adalah upgrade kontrak yang menyerahkan kontrol atas cold wallet Bybit kepada alamat yang dikendalikan penyerang. 401.000 ETH — bernilai sekitar $1,5 miliar pada saat itu — meninggalkan Bybit dalam satu transaksi. Reverse-engineering SlowMist menelusuri skrip jahat itu kembali ke mesin pengembang Safe yang dikompromikan, bukan kerentanan di sisi Bybit. Pelajaran yang tidak nyaman: cold storage melindungi kunci, tetapi antarmuka pengguna berbohong kepada penanda tangan manusia.

Baris terakhir itu penting. Crypto Twitter merayakan ketika Bybit mengumumkan 88% dana “dapat dilacak” pada minggu pertama. Dua belas bulan kemudian, lebih dari seperempat hasil curian tidak dapat dipulihkan — bukan karena blockchain lupa, tetapi karena pencampuran dan lompatan lintas chain akhirnya memutus tautan analitik. Pelacakan memiliki masa berlaku, dan Lazarus tahu itu lebih baik dari siapa pun.

Playbook pencucian uang 3 fase yang digunakan Lazarus

Pada saat sebagian besar pengguna ritel membaca tentang sebuah peretasan, dana sudah bergerak. Lazarus menjalankan playbook tiga fase yang sangat konsisten, didokumentasikan di seluruh pencurian Bybit, Atomic Wallet, dan DMM Bitcoin oleh TRM Labs dan Chainalysis. Memahaminya adalah perbedaan antara membaca transaksi dan membaca strategi.

Fase 1: Konversi dan dispersi (jam 0-72)

Langkah pertama setelah pencurian selalu sama: mengubah apa pun yang bisa dibekukan menjadi sesuatu yang tidak bisa. Stablecoin ERC-20 (USDT, USDC) ditukar dengan ETH asli dalam hitungan jam, karena Tether dan Circle dapat memasukkan alamat stablecoin ke dalam daftar hitam, tetapi tidak ada yang dapat memasukkan ETH itu sendiri ke dalam daftar hitam. 401.000 ETH dari Bybit hampir segera dibagi menjadi sekitar 50 sub-dompet, masing-masing menyimpan 5.000-10.000 ETH. Ini adalah dispersi: jika satu dompet dilacak, Anda hanya membakar sebagian kecil dari hasil curian.

Pola dispersi adalah apa yang disebut analis blockchain sebagai “peel chain” — jumlah besar dikupas menjadi potongan-potongan lebih kecil pada setiap lompatan, dalam ukuran yang kira-kira sama, dengan sisanya diteruskan ke alamat berikutnya. Peel chain adalah pola transaksi di mana input besar berulang kali dibagi menjadi satu output kecil yang dikupas dan satu sisa yang diteruskan lebih besar, menciptakan pohon bercabang di seluruh ratusan dompet. Di Etherscan terlihat seperti pohon Natal: satu input, dua atau tiga output di setiap node, dengan satu output jauh lebih besar dari yang lain. Potongan yang lebih kecil melanjutkan ke fase 2; sisa yang lebih besar menunggu.

Fase 2: Pencampuran dan obfuskasi lintas chain (hari 3-90)

Setelah dana didispersi, Lazarus mencampur. Secara historis itu berarti Tornado Cash, tetapi Departemen Keuangan AS menghapus Tornado Cash dari daftar pada 21 Maret 2025 — tiga minggu setelah peretasan Bybit — dan meskipun Roman Storm menerima vonis bersalah parsial pada 6 Agustus 2025 — dihukum karena konspirasi untuk mengoperasikan bisnis transmisi uang tanpa lisensi, dengan juri buntu pada tuduhan pencucian uang dan pelanggaran sanksi — protokol itu sendiri tetap dapat digunakan. Lazarus juga berputar melalui Wasabi Wallet (CoinJoin) — CoinJoin adalah teknik pencampuran Bitcoin yang menggabungkan transaksi beberapa pengguna menjadi satu batch tunggal sehingga pengamat tidak dapat mencocokkan pengirim individu dengan penerima — ditambah CryptoMixer dan privacy-rollup Railgun.

Pola yang lebih sulit dilacak adalah lompatan lintas chain. ETH curian Bybit menyeberang ke Bitcoin melalui THORChain dan Chainflip — keduanya adalah protokol swap terdesentralisasi tanpa KYC. Setelah dana berada di Bitcoin, jejak berpotongan dengan pola “peel chain” yang disukai Lazarus lagi, kali ini menyebar menjadi 6.954 alamat BTC yang berbeda yang diidentifikasi oleh TRM Labs. Setiap lompatan lintas chain menambah noise analitik; setelah tiga lompatan, bahkan model pengelompokan Chainalysis — algoritma yang mengelompokkan beberapa alamat yang kemungkinan dikendalikan oleh entitas yang sama berdasarkan pola pengeluaran bersama — mulai menghasilkan atribusi dengan kepercayaan rendah.

Fase 3: Permainan menunggu (bulan 6+)

Lazarus tidak mencairkan dengan cepat. Dana dari peretasan Ronin Bridge 2022 ($625M) masih dipindahkan baru-baru ini pada 2024. Polanya adalah membiarkan siklus berita mati, membiarkan tim kepatuhan bursa mengalihkan fokus, dan kemudian mengonversi melalui meja OTC di yurisdiksi dengan pengawasan lemah. Pada tanda 12 bulan, diperkirakan 27,59% dari hasil curian Bybit telah pindah ke dompet di mana Chainalysis, TRM, dan Elliptic tidak dapat lagi mempertahankan tautan dengan kepercayaan tinggi. Itu tidak berarti chain lupa — itu berarti kepercayaan analitik turun di bawah ambang batas yang dipublikasikan penyelidik.

Membaca transaksi dana curian di Etherscan: panduan 5 langkah

Ini adalah bagian yang dilewati setiap retrospektif Bybit lainnya. Anda tidak memerlukan kursi Chainalysis Reactor seharga $50.000 untuk mengikuti tiga lompatan pertama Lazarus — Anda memerlukan Etherscan dan sepuluh menit. Pilih transaksi drainer hot-wallet Bybit asli (cari “Bybit exploit” di Etherscan dan klaster berlabel akan muncul), dan jalani. Saya menjalankan prosedur persis ini pada klaster eksploiter Bybit saat menyusun panduan ini dan memetakan satu cabang dispersi sepenuhnya dalam waktu sekitar delapan menit — yang mengikuti adalah persis apa yang akan Anda lihat.

Anda akan menemui jalan buntu. Sekitar lompatan ketiga atau keempat, jejak memasuki mixer CoinJoin (di mana dana 50+ pengguna dicampur) atau bridge lintas chain dengan keterbatasan observabilitas publik. Itulah saatnya untuk berhenti melacak dan memulai alur kerja alat AML yang dijelaskan di bawah ini — karena pertanyaan bergeser dari “ke mana ini pergi?” menjadi “apakah dompet yang akan saya terima darinya terkontaminasi?”

4 alat forensik on-chain terbaik untuk individu

Sebagian besar liputan pelacakan blockchain memprofilkan platform enterprise — Chainalysis Reactor, TRM, Elliptic — yang tidak akan pernah dijangkau pengguna ritel. Inilah yang sebenarnya dapat digunakan oleh pembaca ChainGain individu, diurutkan berdasarkan aksesibilitas. Tingkat gratis dari masing-masing cukup untuk melakukan semua hal dalam artikel ini. Saya menguji keempatnya terhadap klaster eksploiter Bybit saat menulis bagian ini: Etherscan dan Arkham menghasilkan hasil berlabel yang dapat dinavigasi dalam hitungan detik; AMLBot mengembalikan tanda risiko tinggi dalam waktu kurang dari tiga puluh detik; grafik gratis Breadcrumbs menunjukkan tiga dari lompatan dispersi sebelum membatasi sisanya berdasarkan harga.

Pendapat jujur: Etherscan ditambah AMLBot cukup untuk 90% kasus penggunaan pribadi. Anda menggunakan Etherscan untuk memahami apa yang terjadi on-chain, dan AMLBot sebelum transfer apa pun di atas $1,000 untuk mengonfirmasi pihak lawan tidak ditandai dalam klaster yang dikenal. Arkham menjadi berguna ketika Anda perlu mengidentifikasi siapa pemilik dompet. Breadcrumbs layak dibayar hanya jika Anda melakukan beberapa penyelidikan per bulan. Tidak ada satu pun dari ini yang akan memberi Anda atribusi tingkat institusional — untuk itu, Anda memerlukan Chainalysis Reactor (hanya enterprise, harga kontrak biasanya $50K+/tahun) atau TRM (serupa).

Untuk perbandingan tingkat institusional yang lebih dalam, lihat panduan kami untuk alat pelacakan blockchain — Chainalysis vs Nansen vs Arkham vs Breadcrumbs vs TRM.

Pencurian crypto Lazarus Group yang dikonfirmasi 2017→2025

Bybit bukanlah peretasan bursa $100M+ pertama Lazarus — dan hampir pasti tidak akan menjadi yang terakhir. Menempatkan pencurian dalam konteks itu penting karena playbook yang sama (peel chain → mixer → lintas chain → tunggu) muncul dalam setiap serangan yang dikonfirmasi. FBI secara resmi telah mengaitkan enam insiden berikut kepada aktor negara Korea Utara:

• Maret 2022 — Ronin Bridge: $625M. Lazarus mengompromikan lima dari sembilan node validator untuk bridge Axie Infinity. Pelacakan Elliptic mendokumentasikan dana bergerak melalui Tornado Cash dalam beberapa minggu.
• Juni 2023 — Atomic Wallet: ~$100M. Menargetkan pengguna Atomic Wallet non-kustodian melalui kampanye malware. Atribusi kepada Lazarus diterbitkan oleh Elliptic dan diperkuat oleh analisis on-chain independen yang melacak dana melalui klaster TraderTraitor yang sama yang digunakan dalam serangan berikutnya.
• September 2023 — Stake.com: $41M. Kompromi hot-wallet di kasino crypto. Siaran pers FBI mengaitkan pencurian itu kepada TraderTraitor / Lazarus.
• Mei 2024 — DMM Bitcoin: $305M. 4.502,9 BTC dicuri dari bursa Jepang dalam satu transaksi; DMM Bitcoin mengumumkan penutupannya kemudian pada 2024.
• Juli 2024 — WazirX: ~$235M. Multisig Ethereum bursa India dikuras dalam pola yang sangat menyerupai serangan Bybit kemudian. Keterlibatan Lazarus dikonfirmasi oleh beberapa analis.
• Februari 2025 — Bybit: $1.5B. Pencurian crypto terbesar yang tercatat.

Tambahkan: lebih dari $2,8 miliar dalam pencurian Lazarus yang dikonfirmasi hanya dari enam insiden ini, dengan serangan kecil dan tahun-tahun 2017-2021 membawa total pencurian crypto Lazarus yang dikaitkan secara publik di atas tanda $5 miliar dalam estimasi industri. Melacak aktor yang sama selama bertahun-tahun adalah apa yang memungkinkan analis untuk mengelompokkan dompet — penggunaan ulang pola dan infrastruktur Lazarus adalah hadiah terbesar untuk penyelidik.

Self-check AML 10 menit sebelum transfer besar apa pun

Anda tidak perlu melacak pencurian untuk menggunakan alat ini. Kasus penggunaan sehari-hari adalah memeriksa dompet seseorang dari siapa Anda akan menerima transfer besar — misalnya, penjual P2P di Binance atau klien freelance yang membayar dalam USDT. Dompet dengan jejak dana kotor dalam riwayatnya dapat menyebabkan dompet Anda ditandai di hilir. Saya secara pribadi menjalankan alur kerja 10 menit yang sama sebelum menerima transfer P2P apa pun di atas $500, dan telah mundur dari tiga perdagangan dalam setahun terakhir karena alamat sumber menunjukkan paparan mixer dalam lima lompatan sebelumnya. Kami membahas mekanisme drift AML dalam panduan kami untuk mengapa crypto Anda dibekukan.

Alur kerja 10 menit:

1. (1 mnt) Dapatkan alamat deposit pihak lawan. Jika mereka menolak, itu sendiri adalah bendera merah — tarik penawaran Anda.
2. (3 mnt) Jalankan alamat melalui AMLBot. Skor di atas 30/100 (zona merah) berarti berhenti. Di bawah 30 tetapi dengan paparan mixer/entitas tersanksi yang ditandai, juga berhenti. Dompet yang benar-benar bersih menunjukkan “risiko rendah” dengan nol bendera sumber risiko tinggi.
3. (2 mnt) Buka alamat di Etherscan. Lihat riwayat masuk. Masuk baru-baru ini dari mixer berlabel (Tornado Cash, Wasabi) atau dari alamat yang ditandai sebagai penipuan yang dikenal? Berhenti. Masuk hanya dari bursa besar (Coinbase, Binance, Kraken)? Umumnya baik-baik saja.
4. (2 mnt) Periksa silang di Arkham. Jika alamat memiliki label entitas selain “personal wallet” — misalnya, “Lazarus-linked” atau “OFAC-sanctioned” — Arkham hampir selalu menunjukkannya. Akun gratis sudah cukup.
5. (2 mnt) Putuskan. Dua hijau dari tiga (AMLBot, Etherscan, Arkham) dan transaksi cukup aman. Satu merah saja dan transaksi tidak aman. Tidak ada opsi keempat.

Sepuluh menit kerja untuk menghindari memiliki $10.000 dibekukan selama enam bulan adalah ROI terbaik dalam keamanan crypto pribadi. Sebagian besar pengguna tidak akan melakukan ini sampai mereka pernah dibekukan sekali. Jadilah pengecualian.

Apa yang harus dilakukan SEBELUM USDT Anda dibekukan

Jika Anda pernah menerima transfer yang melacak kembali, bahkan empat atau lima lompatan, ke mixer atau alamat tersanksi, stablecoin Anda berisiko dibekukan oleh penerbit (Tether atau Circle) tanpa peringatan. Tether sendiri telah membekukan lebih dari $3,3 miliar di 7.268 alamat, dan tingkat pembukaan pembekuan rata-rata di bawah 7%. Pencegahan adalah satu-satunya strategi realistis.

Daftar periksa pra-pembekuan 5 item:

1. Jalankan self-check AML di atas pada setiap dompet penerima untuk transfer di atas $1.000. Simpan laporan dengan stempel waktu.
2. Hindari menerima langsung dari platform P2P dengan KYC lemah jika memungkinkan — terima ke dompet perantara yang Anda kontrol, tahan selama 24 jam, lalu pindahkan.
3. Jangan pernah menerima USDT/USDC dari output CoinJoin atau mixer, tidak peduli seberapa bersih pengirim langsung terlihat. Logika pembekuan bersifat rekursif — Tether dapat bertindak pada dana dengan riwayat mixer beberapa lompatan ke belakang.
4. Pertahankan dompet “tabungan” terpisah yang hanya menerima dari bursa terpusat besar. Koin dompet ini tidak boleh menyentuh P2P, mixer, atau pihak lawan yang tidak Anda percaya sepenuhnya.
5. Jika Anda harus menerima transfer berisiko lebih tinggi, perkecil ukurannya. Kehilangan $200 karena pembekuan dapat dipulihkan. Kehilangan $20.000 mengubah tahun Anda.

Hardware wallet tidak membantu melawan pembekuan. Pembekuan terjadi di tingkat smart-contract di sisi penerbit stablecoin, bukan di dompet Anda. Aset menghilang dari alamat Anda terlepas dari apakah kunci Anda ada di Ledger, Trezor, atau di cadangan kertas. Lihat perbandingan hardware wallet kami untuk gambaran keamanan yang lebih luas, tetapi pahami: keamanan penyimpanan dan keamanan aliran adalah masalah yang berbeda.

Apa yang sebenarnya dapat dilakukan korban (dan apa yang tidak berhasil)

Jika Anda sudah dibekukan, ditipu, atau diretas, opsi yang jujur terbatas.

Apa yang berhasil (kadang-kadang):

• Laporkan ke IC3.gov segera jika Anda berada di atau bertransaksi dari AS. FBI tidak mengembalikan dana, tetapi laporan masuk ke database yang memicu pembekuan tingkat bursa. ic3.gov.
• Kirim tip ke Chainalysis melalui formulir publik mereka untuk insiden besar. Mereka mengonfirmasi kolaborasi industri di Bybit termasuk masukan langsung saluran tip.
• Ajukan laporan polisi lokal untuk catatan formal, bahkan jika polisi lokal tidak dapat bertindak. Asuransi, tuntutan perdata, dan klaim kerugian pajak semuanya membutuhkan nomor laporan.
• Hubungi bursa di mana dana curian terakhir terlihat menuju. Jika dana Anda memasuki bursa yang diatur dengan tim kepatuhan yang berfungsi (Binance, Coinbase, Kraken), mereka kadang-kadang dapat membekukan di sisi mereka dengan laporan yang kredibel. Mereka tidak akan bertindak atas keluhan yang tidak spesifik.

Apa yang tidak berhasil:

• Layanan “pemulihan crypto” yang menghubungi Anda di Twitter/Telegram menawarkan untuk memulihkan dana Anda dengan biaya muka. Ekonomi pemulihan-penipuan yang mengikuti setiap peretasan itu sendiri adalah penipuan. Pekerjaan pemulihan yang sah terjadi melalui penegakan hukum dan tim kepatuhan bursa, bukan permintaan DM.
• Meminta peretas untuk mengembalikan dana. Lazarus tidak pernah mengembalikan dana. Kelompok lain kadang-kadang melakukannya (kasus “white hat” Poly Network 2021 adalah pengecualian terkenal), tetapi itu adalah hasil satu-dalam-seribu.
• Perintah pengadilan terhadap dompet yang tidak diketahui. Pengadilan dapat mengeluarkan perintah pembekuan terhadap individu yang disebutkan namanya dan bursa, bukan alamat anonim. Mereka menjadi berguna hanya setelah dana memasuki tempat yang dikustodikan.

Kebenaran yang lebih sulit: dari $1,5 miliar yang dicuri dari Bybit, batas pemulihan realistis — antara pembekuan tingkat bursa, program bounty, dan penyitaan penegakan hukum — kemungkinan di bawah $100M. Batas bounty $140M mewakili 10% dari apa pun yang sebenarnya dipulihkan, sehingga pada lintasan saat ini pembayaran bounty riil juga akan jauh di bawah angka utama. Sisanya sedang dipegang, dicampur, dan perlahan-lahan dicairkan selama bertahun-tahun. Saya memeriksa pelacak attestation terbaru sebelum diterbitkan — kesenjangan antara “yang dijanjikan dalam berita utama” dan “benar-benar dibekukan” semakin lebar setiap kuartal. Pencegahan membeli jauh lebih banyak daripada pemulihan.

Lanjutkan belajar

FAQ

Kesimpulan

Peretasan Bybit bukanlah anomali — itu adalah iterasi. Lazarus telah menjalankan playbook yang sama melalui enam pencurian besar yang dikonfirmasi dan terus bertambah, dan playbook bekerja karena sebagian besar pembela tidak membaca transaksi. Blockchain bersifat publik, alat sebagian besar gratis, dan sepuluh menit penyelidikan sebelum transfer lebih murah daripada enam bulan menunggu dompet beku dibebaskan. Bagian tersulit bukanlah literasi teknis. Itu adalah disiplin untuk benar-benar melakukannya.

Jika Anda mengambil satu hal dari artikel ini, jadikan itu alur kerja self-check AML. Lima langkah, sepuluh menit, dan Anda akan lebih siap daripada orang-orang yang kehilangan $1,5 miliar Februari lalu.

Alex Mercer
Analis Kripto di ChainGain

Alex telah meliput pasar mata uang kripto dan teknologi blockchain sejak 2019. Ia fokus pada panduan praktis yang membantu orang-orang di pasar berkembang menggunakan kripto untuk tabungan, pembayaran, dan remitansi. Biografi lengkap

Continue Learning

Cara Termurah Kirim Uang ke Filipina (2026)

Alex Mercer · Analis Crypto · Pengalaman 5+ Tahun Diterbitkan: 6 Apr. 2026 · 16 menit baca · Tingkat Kesulitan: …

Apa Itu DeFi? Keuangan Terdesentralisasi Dijelaskan untuk Pemula (2026)

Alex Mercer Analis Crypto · 5+ Tahun Pengalaman Diterbitkan: 26 Mar. 2026 · 18 menit baca Pemula Pengungkapan: Artikel ini mengandung tautan…

Dibayar Crypto sebagai Freelancer: Panduan Pembayaran Global (2026)

Alex Mercer Analis Kripto · Pengalaman 5+ Tahun Diterbitkan: 19 Maret 2026 · 15 menit baca Intermediate Pengungkapan: Artikel ini hanya untu…