Isunya bukan peretasan baru, melainkan kredibilitas laporan proof of reserves sebuah bursa kripto besar — berdampak pada standar transparansi bursa global, dengan jalur ke Indonesia melalui sentimen risiko aset digital dan praktik keterbukaan exchange lokal.
Ringkasan Eksekutif
CoinDCX membantah telah mengalami insiden keamanan baru, meski penyelidik on-chain menandai sekitar US$16 juta transfer yang berasal dari alamat dompet berlabel bursa kripto India tersebut. Manajemen CoinDCX mengaitkan transaksi itu dengan dompet lama yang dibuat pada Januari 2025 dan diretas pada Juli 2025, sekaligus menegaskan dompet tersebut tidak lagi digunakan sejak insiden. CEO CoinDCX Sumit Gupta menyatakan pihaknya tengah menyelidiki lebih lanjut dan berjanji tidak ada dana pengguna yang dirugikan. CoinDCX tidak menanggapi permintaan konfirmasi dari Cointelegraph hingga berita ini diterbitkan. Bantahan itu belum menutup persoalan. Penyelidik blockchain ZachXBT mempertanyakan klaim bahwa dompet tersebut sudah ditinggalkan, dengan menyatakan satu alamat deposit CoinDCX masih dipakai penyedia likuiditas selama sepuluh bulan setelah insiden Juli 2025.
Menurut temuan itu, alamat tersebut terus mengalirkan setoran pengguna ke hot wallet publik CoinDCX yang aktif saat ini, sekaligus menerima dana untuk menutup biaya transaksi. Temuan pendiri platform pemulihan aset FlashRescue, Darcy, menambah lapisan lain: dua alamat yang tercantum dalam laporan proof of reserves terbaru CoinDCX disebut mengirim dana ke alamat Tron yang tengah disorot. Inti persoalannya bukan sekadar ada atau tidaknya peretasan baru, melainkan kredibilitas mekanisme proof of reserves sebagai alat komunikasi risiko kepada publik. Laporan semacam itu pada dasarnya hanya memotret saldo pada satu titik waktu; ia tidak menjamin bahwa kunci pengelolaan dompet bersih, terpisah dari infrastruktur yang pernah diretas, atau bahwa alamat yang dipublikasikan tidak lagi terhubung ke jalur operasional.
Bila alamat dalam laporan resmi terbukti masih bersinggungan dengan dompet yang dikompromikan, nilai pengawasan publik atas laporan tersebut melemah — dan itu berlaku sebagai preseden bagi seluruh industri, bukan hanya bagi satu bursa. Konteksnya relevan: CoinDCX sudah kehilangan US$44 juta pada Juli tahun lalu dan saat itu menyatakan kerugian ditutup dari kas treasury, dengan penegasan dompet pelanggan terpisah dari akun terdampak. Kemampuan menyerap kerugian secara berulang menyisakan pertanyaan tentang seberapa lama bantalan treasury sebuah bursa bisa menahan rangkaian insiden. Janji Gupta untuk segera memberi pembaruan menjadi penanda pertama yang perlu diawasi; yang menentukan bukan pernyataannya, melainkan apakah CoinDCX mempublikasikan rekonsiliasi tingkat alamat yang bisa diverifikasi independen, termasuk status dua alamat yang disebut Darcy.
Latar pasar global tidak memberikan kelonggaran: imbal hasil US Treasury 10 tahun berada di 5,12%, indeks dolar broad tertimbang-dagang di 121,4, dan VIX di 17,31 — lingkungan likuiditas yang tidak murah untuk menyerap kejutan operasional berulang. Di dalam negeri, IHSG ditutup di 5.388 dan USD/IDR berada di 18.045, kombinasi yang menjaga selera risiko investor domestik terhadap aset alternatif tetap selektif.
Mengapa Ini Penting
Yang diuji di sini bukan keamanan satu bursa, melainkan apakah laporan proof of reserves masih layak dipakai publik sebagai alat penilaian risiko. Selama ini laporan tersebut menjadi rujukan utama pengguna menilai apakah aset mereka benar-benar ada, padahal ia hanya menunjukkan saldo pada satu titik waktu dan tidak memverifikasi kebersihan kendali atas dompet. Bila alamat yang dipublikasikan justru masih terhubung ke infrastruktur yang pernah diretas, standar keterbukaan yang dianggap cukup selama ini kehilangan daya ikatnya. Bagi bursa yang lebih kecil dan tidak punya bantalan treasury sebesar CoinDCX, konsekuensinya bukan sekadar reputasi, melainkan biaya kepatuhan dan biaya pendanaan yang naik.
Dampak ke Bisnis
- Bursa kripto yang menerbitkan laporan proof of reserves menghadapi tuntutan baru: bukan hanya membuktikan saldo, tetapi juga memisahkan alamat yang dipublikasikan dari jalur operasional dan dari dompet yang pernah dikompromikan. Beban audit teknis ini lebih berat bagi exchange dengan tim keamanan terbatas.
- Penyedia likuiditas dan mitra institusional CoinDCX menjadi pihak yang paling terpapar secara operasional meski tidak disebut sebagai pihak terganggu — temuan ZachXBT menyebut alamat deposit masih dipakai penyedia likuiditas selama sepuluh bulan setelah insiden, yang berarti risiko konsentrasi pada satu jalur setoran.
- Tekanan berulang pada treasury, dengan kerugian US$44 juta yang sebelumnya ditutup dari kas sendiri, berpotensi mempersempit ruang ekspansi bursa dan memperkuat konsolidasi ke pemain dengan neraca lebih tebal — efek yang baru terasa dalam beberapa kuartal, bukan segera.
- Di sisi pengguna, insiden semacam ini memperkuat preferensi pada penyimpanan mandiri (self-custody) dan menekan pertumbuhan volume perdagangan di bursa tersentralisasi, terutama di pasar ritel yang sensitif terhadap berita keamanan.
Yang Perlu Dipantau
- Yang perlu dipantau: pembaruan resmi CoinDCX atas hasil investigasi — sinyal kuncinya bukan pernyataan bebas kerugian, melainkan publikasi rekonsiliasi tingkat alamat yang bisa diverifikasi pihak ketiga dalam 7–14 hari ke depan.
- Risiko yang perlu dicermati: status dua alamat yang tercantum dalam laporan proof of reserves terbaru dan disebut mengirim dana ke alamat Tron yang disorot — jika keterkaitannya terkonfirmasi, kredibilitas laporan menjadi pertanyaan terbuka bagi bursa lain yang memakai format serupa.
- Sinyal penting: respons otoritas dan platform pemulihan aset terhadap temuan Darcy — eskalasi ke tingkat penyelidikan formal akan mengubah isu ini dari sengketa analis on-chain menjadi perkara kepatuhan.
Konteks Indonesia
Pasar kripto ritel Indonesia aktif, sehingga standar keterbukaan bursa global menjadi rujukan pembanding bagi exchange lokal dan bagi regulator aset digital dalam menilai praktik pengungkapan risiko platform. Jalur transmisinya melalui dua kanal: pertama, sentimen selera risiko global terhadap aset digital, yang dengan VIX di 17,31 dan imbal hasil US Treasury 10 tahun di 5,12% masih berada dalam fase hati-hati; kedua, ekspektasi pengguna domestik terhadap bukti cadangan dan pemisahan dompet, yang cenderung menular ke platform mana pun yang menerbitkan laporan serupa. Dampak langsung ke pasar domestik terbatas; yang bergerak lebih dulu adalah preferensi penyimpanan aset dan kerangka uji tuntas investor ritel.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.