Insiden terbatas pada satu bursa Brasil, tetapi karena kerugiannya berasal dari kontrol internal—bukan eksploitasi smart contract—presedennya menekan standar kustodi bursa kripto global, termasuk yang beroperasi di Indonesia.
Ringkasan Eksekutif
Mercado Bitcoin mulai membuka kembali akses baca-saja ke akun nasabah secara bertahap pada Senin, sepekan setelah penyerang menguras dana sekitar US$49 juta dari platform. Bursa kripto asal Brasil itu belum menetapkan kapan penarikan dana dapat dilakukan. Akses dibuka pukul 19.00 UTC dan seluruh akun diperkirakan dapat dilihat pada pukul 21.00 UTC, dengan saldo yang ditampilkan adalah posisi per 2 November—hari insiden terjadi. Wakil Presiden Bidang Bisnis Baru Mercado Bitcoin, Fabricio Tota, menyebut perusahaan memilih pendekatan yang lebih konservatif dalam mengaktifkan akun demi memastikan pemulihan berjalan aman. Perusahaan menegaskan mengganti aset yang hilang dengan dana sendiri, ditopang investasi US$20 juta dari penerbit stablecoin Tether pada Juli. Sebagian dana curian juga berhasil dibekukan dalam beberapa jam setelah pengumuman serangan.
Namun perusahaan belum menjelaskan bagaimana penyerang memperoleh akses ke dompetnya—celah yang justru menjadi inti persoalan dan menentukan bobot risiko bagi nasabah yang dananya masih tertahan. Analis keamanan blockchain mencatat penyerang mengakses alamat dompet dan menguras dana melalui transfer standar, bukan eksploitasi smart contract. Temuan itu memindahkan titik lemah dari kode protokol ke tata kelola kunci dan kontrol internal. Data perusahaan blockchain Bitquery mencatat, per 4 November, dompet yang dikaitkan dengan penyerang masih menyimpan sebagian besar dana yang lolos pembekuan, termasuk 106,07 BTC. Mercado Bitcoin menyatakan sebagian dana dilacak ke alamat setoran nasabah, tetapi menegaskan nasabah tidak menanggung kerugian. Klaim itu masuk akal secara neraca, namun bergantung pada kapasitas perusahaan menyerap beban tersebut tanpa mengganggu operasi.
Skala Mercado Bitcoin membuat persoalan ini bukan sekadar insiden satu bursa. Perusahaan menyebut memiliki lebih dari 4,8 juta nasabah dan telah memproses transaksi kumulatif lebih dari 215 miliar real Brasil (US$39 miliar). Akses baca-saja bukan likuiditas: dana nasabah masih terkunci, dan tahap berikutnya baru meminta pengguna mengonfirmasi data registrasi sebelum dana dapat dipindahkan. Penarikan via Pix akan dibatasi ke rekening atas nama nasabah sendiri, tanpa tanggal pasti.
Mengapa Ini Penting
Pemulihan akses baca-saja adalah manuver pengelolaan kepercayaan, bukan pemulihan likuiditas—nasabah bisa melihat saldo, tetapi belum bisa mengambilnya. Yang berubah secara struktural adalah lokasi risiko: karena dana dikuras lewat transfer standar, kegagalan berada di tata kelola kunci dan prosedur internal, bukan di kode kontrak pintar. Ini melemahkan asumsi yang selama ini menopang kepercayaan pasar kripto dan mengarahkan perdebatan regulasi ke bukti cadangan serta pemisahan dana nasabah.
Dampak ke Bisnis
- Lebih dari 4,8 juta akun nasabah masih menghadapi dana terkunci meski saldo sudah dapat dilihat; tahap lanjutan mensyaratkan konfirmasi data registrasi dan penarikan via Pix dibatasi ke rekening atas nama sendiri, sehingga kebutuhan likuiditas nasabah tidak serta-merta terpenuhi meski secara teknis akses sudah dibuka.
- Bursa kripto lain—termasuk yang melayani pasar ritel Indonesia di bawah pengawasan Bappebti dan OJK—menghadapi permintaan nasabah atas bukti cadangan dan penjelasan tata kelola kunci, karena insiden ini membuktikan kegagalan operasional dapat terjadi tanpa celah pada kode.
- Penerbit stablecoin dan investor strategis menanggung risiko reputasi ketika dana talangan menjadi bagian skema pemulihan; investasi US$20 juta Tether pada Juli kini berfungsi sebagai bantalan modal, dan preseden ini dapat mengubah cara investor menilai komitmen modal di bursa kripto pada kuartal-kuartal berikutnya.
Yang Perlu Dipantau
- Yang perlu dipantau: tanggal pasti pembukaan penarikan via Pix dan konfirmasi data registrasi—tanpa kepastian ini, dana 4,8 juta nasabah tetap tertahan dan potensi penarikan serentak menumpuk.
- Risiko yang perlu dicermati: penjelasan resmi soal vektor serangan—jika terbukti akses diperoleh melalui kontrol internal, exchange lokal berpotensi menghadapi tuntutan standar kustodi dan audit cadangan yang lebih ketat.
- Sinyal penting: pergerakan dana di dompet yang dikaitkan dengan penyerang, termasuk 106,07 BTC yang masih tercatat per 4 November—pembekuan lanjutan atau perpindahan aset menjadi penanda apakah pemulihan berjalan.
Konteks Indonesia
Standar kustodi dan tata kelola kunci di bursa kripto global menjadi rujukan langsung bagi pasar aset digital ritel Indonesia yang pengawasannya berada di ranah Bappebti dan OJK. Insiden yang berpusat pada kontrol internal—bukan eksploitasi smart contract—menajamkan tuntutan atas praktik bukti cadangan dan pemisahan dana nasabah di bursa lokal. Jalur kedua lewat sentimen risiko global: dengan VIX di 28,18 dan imbal hasil US Treasury 10 tahun di 4,84%, arus modal cenderung menjauh dari aset berisiko, sementara rupiah berada di 18.039 per dolar AS dan IHSG di 5.074. Fase risk-off yang menyertai pelemahan aset digital global umumnya juga menekan saham teknologi di bursa domestik.
Analisis ini dibuat oleh sistem AI Feedberry berdasarkan sumber berita publik dan tidak merupakan saran investasi atau keputusan bisnis. Selalu verifikasi dengan sumber primer.