Dana hasil pembobolan kas Triple-A kembali bergerak setelah mengendap hampir tiga bulan. Pelaku peretasan mentransfer 4.970 ETH senilai sekitar $12,4 juta ke protokol Tornado Cash pada 9 Oktober 2026. Temuan ini dilaporkan oleh firma keamanan blockchain Salus setelah melacak alamat penyerang.
Transfer pada 9 Oktober menandai aktivitas pertama sejak insiden pencurian kas pada Juli 2026. Salus menemukan bahwa dana curian tidak dikirim sekaligus, melainkan dipecah menjadi 49 deposit masing-masing 100 ETH dan 7 deposit berukuran 10 ETH.
Rute Berliku Menuju Mixer
Sebanyak 49 deposit besar senilai total 4.900 ETH dan 7 deposit kecil senilai 70 ETH dikirim bertahap. Aliran dana tidak langsung menuju Tornado Cash dari dompet asal. Salus mencatat aset melewati dua jalur perantara terpisah sebelum disatukan ke satu dompet yang mengeksekusi deposit ke protokol.
Satu dari dua jalur perantara itu bahkan memuat dana dari penarikan mixer sebelumnya. Penyerang menyusun rute bertingkat guna memutus jejak analitik on-chain sebelum dana masuk ke Tornado Cash.
Nilai aset yang dipindahkan kini melampaui taksiran awal saat insiden pertama kali mencuat. Firma keamanan Specter awalnya memperkirakan kerugian Triple-A pada Juli berada di kisaran $11,8 juta. Pada 25 Juli 2026, saldo pada alamat penerima tercatat sekitar 5.226,66 ETH senilai $9,7 juta. Kenaikan harga Ethereum membuat 4.970 ETH yang dipindahkan per Oktober bernilai lebih tinggi di angka $12,4 juta.
Pintu Masuk Lewat Panggilan Telepon
Laporan post-mortem pada Agustus 2026 mengungkap celah awal pembobolan. Serangan bermula dari rekayasa sosial yang menyasar staf teknik. Pelaku menyamar, memakai komunikasi multi-channel, lalu menelepon target langsung demi memperoleh akses sistem internal.
Taktik itu membuahkan dampak fatal. Penyerang memperoleh izin sistem yang ditingkatkan, menyebarkan malware, mengakses database produksi, dan menyalahgunakan kredensial API. Dari celah itu, peretas menguras dompet operasional di jaringan TRON, Ethereum, Polygon, dan Arbitrum.
Triple-A, penyedia gerbang pembayaran kripto berbasis Singapura, mengonfirmasi akses tidak sah pada 25 Juli 2026. Manajemen memastikan dana pelanggan tetap aman di rekening trust terpisah pada perbankan mitra seperti DBS dan Standard Chartered, serta menyatakan perusahaan ‘tetap well capitalised’.
📌 Baca JugaTron Aktifkan Pertahanan Post-Kuantum di Testnet - Justin Sun Sebut Siap Mainnet Kapan Saja
Status Hukum yang Belum Tuntas
Pemindahan dana curian ke Tornado Cash berlangsung saat status protokol privasi itu sudah berubah di mata regulator. Pemerintah Amerika Serikat telah mencabut sanksi terhadap Tornado Cash pada Maret 2025, memulihkan status legal interaksi smart contract protokol bagi publik.
Kendati sanksi terhadap protokol dicabut, proses hukum terhadap pengembangnya masih berjalan. Persidangan ulang untuk co-founder Tornado Cash, Roman Storm, resmi ditunda hingga April 2027. Di ranah hukum perdebatan privasi belum usai, namun di blockchain, protokol itu tetap aktif menjadi sarana pencucian dana curian.
Bagi industri kripto, kasus Triple-A membuktikan bahwa dompet operasional dapat dibobol bukan lewat kerentanan kode, melainkan interaksi manusia yang luput dari pengawasan.
Dilansir dari crypto.news.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
