Perusahaan yang menjual alat pemburu penjahat kripto kepada polisi, badan intelijen, dan bursa dengan harga selangit ternyata tidak mampu menjaga halaman rumahnya sendiri. Chainalysis secara resmi mengakui bahwa penyerang dari luar memperoleh akses tanpa izin ke sistem dan alat internalnya, lalu menyedot data pengguna platform. Pengakuan itu terbit pada 30 Oktober — persis di hari yang sama ketika Chainalysis yang sama, dengan gaya peramal yang serba tahu, menunjuk pelaku perampokan terbesar dalam sejarah kripto: menurut versinya, sekitar 6,4 miliar dolar AS dari dompet Binance dibawa kabur oleh kelompok Korea Utara TraderTraitor.
Begitu Anda mulai membaca rincian dari perusahaan itu sendiri, ketajaman ala detektif entah mengapa menguap. Yang disebutkan hanya bahwa penyusupan terdeteksi “bulan ini”. Penyerang membawa kabur ID pengguna, nama lengkap, alamat email kantor, dan jabatan di dalam organisasi — termasuk milik klien yang kini menerima surat-surat yang jauh dari menggembirakan dari Chainalysis. Menurut perusahaan, sebagian korban sudah diberi tahu lebih dulu secara tertutup. Berapa total catatan yang bocor dan akun siapa saja yang dikuras, para analis terkemuka di planet ini belum juga menghitungnya: setiap klien dijanjikan rincian tersendiri “setelah analisis itu selesai”. Celah yang dipakai si penyusup untuk masuk saat ini sedang ditambal sambil jalan.
Sementara itu, laporan publiknya menyisakan lubang menganga di tempat semua pertanyaan pokok: pada hari apa persisnya penyusupan ditemukan, berapa minggu penyerang leluasa berkeliaran di jaringan, lewat kerentanan apa ia masuk, dan “alat internal” mana saja yang sempat ia pakai. Tak satu angka pun, tak satu tanggal pun, tak satu fakta teknis pun.
Chainalysis dengan nada menenangkan menyebut informasi yang dicuri itu “tidak sensitif”. Kedengarannya manis, asal Anda lupa siapa yang membeli perangkat lunaknya: klien utama perusahaan ini adalah aparat penegak hukum, otoritas pajak dan badan intelijen, bursa kripto, serta bank. Nama lengkap, email dinas, dan peran para penyidik kejahatan kripto yang masih aktif bukanlah “remah-remah tidak sensitif”, melainkan buku alamat emas yang siap pakai untuk phishing tertarget dan pemerasan. Chainalysis sendiri paham betul soal itu: dalam teks yang sama, ia mendesak klien agar tidak memercayai email reset kata sandi yang datang tiba-tiba, notifikasi push untuk mengonfirmasi login, maupun penipu yang menelepon atas nama karyawan perusahaan.
AI biang keladinya, Binance tidak ada hubungannya
Penjelasan resmi soal penyebab kegagalan ini layak dibahas tersendiri. Dibuka dengan jurus klasik “semua juga kena”: Chainalysis katanya terdampak “seperti banyak platform teknologi lain dalam beberapa minggu terakhir” — intinya, sekarang semua orang dibobol, jadi jangan menilai terlalu keras. Lalu artileri berat pemasaran pun dikerahkan: semuanya gara-gara “peningkatan serangan siber berbasis AI di seluruh industri” dan entah apa yang disebut “teknik agentik ofensif”. Agen apa, siapa yang menjalankannya, bagaimana kecerdasan buatan menembus perimeter perusahaan yang pekerjaannya justru keamanan — tak sepatah kata pun. Sebagai gantinya, lubang itu dijanjikan akan diobati dengan bubuk tren yang sama: konsultan eksternal dan “model bahasa besar yang canggih” dilibatkan dalam pemeriksaan. AI yang membobol, AI pula yang berjaga.
Dua kali dalam teks pendeknya, perusahaan itu dengan gugup menegaskan bahwa pembobolan ini sama sekali tidak terkait dengan pencurian miliaran dari Binance. Kami percaya saja. Ironinya ada di tempat lain. Ketika bursa milik orang lain dikuras, para ahli Chainalysis hanya butuh delapan jam untuk menulis diagnosis yang tepat lengkap dengan nama negaranya: dana mulai mengalir keluar pada 29 Oktober pukul 16.20 waktu New York, dan pada pukul 00.30 dunia sudah disuguhi Korea Utara. Kemarin kami mengulas secara rinci betapa nyamannya menimpakan setiap lubang bernilai miliaran dolar pada tipu daya Pyongyang. Namun begitu ada yang menyusup ke server milik Chainalysis sendiri, penglihatan legendaris para detektif langsung padam: si penyusup tak punya bendera, tak punya kelompok, tak meninggalkan jejak, selain kata samar “agentik”.
Yang lebih lucu lagi adalah akrobat kata seputar kata sandi. Di bagian atas siaran pers, perusahaan dengan riang melaporkan tidak menemukan tanda akses ke “kredensial autentikasi” sama sekali. Tapi beberapa paragraf kemudian, dalam surat untuk klien, rumusannya diam-diam menyusut: di sana hanya disebutkan bahwa penyerang tidak menjangkau kata sandi “dalam bentuk teks biasa”. Artinya, hash kata sandi, patut diduga, bisa saja sudah melayang entah ke mana — belum lagi pertanyaan mengapa perusahaan keamanan siber di tahun 2026 masih menyebut “kata sandi dalam teks biasa” sebagai kategori tersendiri. Dan nasihat penutup kepada klien, “aktifkan autentikasi dua faktor jika organisasi Anda belum melakukannya”, tanpa sengaja membocorkan rahasia umum: di platform tertutup untuk aparat keamanan dan penyidik keuangan, sampai hari ini orang bisa bekerja dengan tenang tanpa faktor kedua.
Tentang bagaimana keamanan sungguhan digantikan etalase sertifikat dan slogan indah, kami sudah menulisnya dalam ulasan tentang Vanta. Etalase Chainalysis disusun sesuai pakem genre: “pakar kelas dunia”, “pendekatan menyeluruh di tingkat perusahaan”, “penguatan postur keamanan”. Yang tidak ada hanyalah jawaban atas pertanyaan sederhana: berapa catatan yang dibawa kabur, berapa hari si penyusup berada di dalam, dan lewat pintu mana ia masuk. Ujung-ujungnya, gambarannya jelas sekali: perusahaan yang lewat blockchain bisa menemukan jejak Korea Utara di saku orang lain dalam delapan jam, soal pembobolan dapurnya sendiri hanya bisa berkata bahwa AI tanpa wajah-lah yang salah, Binance jelas tidak ada hubungannya, dan yang bocor cuma nama, email, dan jabatan orang-orang yang tugasnya justru menangkap peretas.