Bitfinex: pencurian yang tidak dilupakan blockchain

Bitfinex menggunakan solusi multi-tanda tangan untuk dana nasabah bekerja sama dengan BitGo. Tujuannya adalah mengurangi risiko bahwa satu kunci yang terkompromi sudah cukup untuk melakukan penarikan. Namun, pada tanggal 2 Agustus, sistem tersebut mengotorisasi serangkaian transaksi besar yang tidak ingin dieksekusi oleh bursa. Jumlah tanda tangan secara formal tidak mampu mencegah kegagalan seluruh pengaturan operasional.

Tepat 119 754 BTC dicuri melalui lebih dari 2 000 transfer. Nilainya saat itu sekitar 70 juta dolar; kenaikan harga kemudian membuat jumlah tersebut bernilai miliaran dolar. Namun, bagi nasabah, kerugian tidak bermula pada grafik harga di masa depan. Kerugian dimulai ketika layanan berhenti beroperasi dan saldo mereka masuk ke dalam penyelesaian insiden keamanan pihak lain.

Pencurian tersebut menunjukkan perbedaan antara teknik multisig dan pengelolaan multisig. Lebih banyak kunci hanya membantu jika kunci tersebut independen, aturan tanda tangan mengungkapkan permintaan yang tidak biasa, dan seluruh sistem tidak memiliki jalur yang dapat menghindari perlindungan. Skema keamanan tidak dapat dinilai hanya dengan jumlah kunci tanpa mengetahui siapa yang menggunakannya dan unter apa kondisi.

Pelanggan bursa tersebut juga tidak bisa membedakan bagian mereka secara di rantai dari yang lain. Di database internal, mereka memiliki saldo akuntan; kunci privat dikendalikan oleh layanan. risiko pihak lawan terwujud tepat pada saat masalah teknis dompet berubah menjadi keputusan tentang bagaimana membagi kerugian di antara orang-orang yang akun individunya tidak diserang.

Bitfinex mempublikasikan informasi yang berkelanjutan, tetapi pada awalnya tidak dapat menjelaskan mekanisme seluruh penyusupan. Ketidakpastian seperti itu biasa terjadi dalam insiden tersebut dan juga menyakitkan: pengguna perlu mengetahui apakah sisa dana mereka aman, sementara penyelidikan tidak dapat segera mempublikasikan semua jejak. Bursa tersebut memutuskan untuk memulihkan operasional dengan kerugian akuntansi setelah beberapa hari.

Bitfinex tidak membebankan kerugian hanya pada akun bitcoin yang koinnya dicuri. Bursa itu mengumumkan pemotongan saldo nasabah secara menyeluruh sebesar 36,067 persen. Dalam pengumumannya saat itu, Bitfinex menjelaskan bahwa cara ini paling mendekati hasil yang akan terjadi jika perusahaan dilikuidasi. Dampak kegagalan teknis pun dibagi di antara nasabah melalui penyelesaian akuntansi bersama.

Untuk nilai yang dihapus, bursa mengeluarkan token BFX dengan nilai nominal dalam dolar. Pemegang token dapat menggunakannya untuk berdagang, menunggu untuk menebusnya nanti, atau mengubahnya menjadi bagian dari perusahaan induk iFinex. Konstruksi ini memberikan korban ganti rugi yang likuid, tetapi sekaligus memindahkan risiko kepada mereka, apakah bursa akan bertahan dan dapat memenuhi kewajiban tersebut.

Pada April 2017, Bitfinex telah mengumumkan bahwa semua token BFX sudah ditebus sesuai nilai nominalnya dalam dolar atau ditukar dengan saham. Karena itu, klaim ganti rugi penuh perlu dipahami dengan cermat. Nasabah tidak mendapatkan kembali jumlah bitcoin yang semula hilang, padahal harganya mungkin telah naik selama waktu itu. Mereka menerima nilai sesuai mekanisme yang ditetapkan perusahaan setelah insiden tersebut.

Beberapa pelanggan menjual token lebih awal dengan diskon, yang lain memegangnya dan yang lain memilih saham. Pengalaman ekonomi mereka berbeda. Kalimat perusahaan tentang penebusan semua token menggambarkan penyelesaian kewajiban sesuai dengan aturan BFX, bukan pengembalian keadaan sebelum pencurian secara seragam.

Kasus ini menjadi argumen yang kuat untuk penyimpanan mandiri. Namun, bahkan itu tidak menjamin keamanan tanpa cadangan dan prosedur yang tepat. Perbedaan terletak pada tempat pengambilan keputusan: dengan dompet mandiri, seseorang langsung menanggung risiko kunci, sedangkan di bursa, seseorang menyerahkan kunci serta rencana darurat perusahaan, yang dapat mengubah posisi akuntansi mereka setelah kehilangan.

Persentase yang sama untuk semua terdengar sederhana secara akuntansi, tetapi situasi manusia tidak sama. Satu nasabah memegang bitcoin di bursa, yang lain saldo dolar, dan yang lagi posisi perdagangan terbuka. Penyebaran kerugian itu pun segera memunculkan pertanyaan, apakah perusahaan dapat mengubah aset yang berbeda-beda menjadi klaim utang bersama setelah kegagalan. Token BFX memberi klaim itu bentuk yang dapat diperdagangkan, bukan kepastian bahwa setiap orang akan mendapatkan kembali hal yang secara ekonomi sama. Ketika Bitfinex kemudian membelinya kembali dengan dolar nominal, perusahaan dapat dengan jujur mengatakan bahwa kewajiban telah dilunasi; nasabah tetap dapat membandingkan hasilnya dengan jumlah bitcoin yang dihapus dari akunnya. Kedua kalimat itu dapat benar secara bersamaan.

Bitcoin yang dicuri tetap berada di alamat-alamat setelah perampokan, yang bisa dilacak oleh setiap analis. Masyarakat melihat ketika sebagian dari stok bergerak, tetapi grafik transaksi Transaction Graph itu sendiri tidak berisi nama pelaku. Alamat adalah pseudonim, bukan identitas resmi, dan satu orang dapat membuat ribuan alamat.

Menurut kementerian kehakiman Amerika, penyelidik mengikuti transfer melalui rantai yang rumit, akun dengan identitas palsu, pertukaran antara aset dan layanan yang disebut sebagai mixer. Sebagian dari pendapatan digunakan, menurut dokumen pengadilan, untuk membeli emas. Setiap langkah berikutnya dimaksudkan untuk memisahkan koin dari sumber yang diketahui, tetapi pada saat yang sama menambahkan lokasi baru di mana jejak bisa muncul.

Pencampuran bitcoin dapat mempersulit penugasan input dan output yang sederhana, tetapi tidak menghapus semua data sekitarnya. Bursa menyimpan data pendaftaran dan identifikasi, layanan cloud menyimpan catatan, dan perangkat yang disita dapat berisi file yang menghubungkan alamat pseudonim dengan orang tertentu. Analisis rantai merupakan satu bagian dari teka-teki, bukan pengungkapan otomatis.

Pada bulan Februari, otoritas Amerika mengumumkan penangkapan Ilya Lichtenstein dan Heather Morgan serta penyitaan sekitar 95 000 BTC. Akses ke sebagian besar koin tersebut memungkinkan karena kunci pribadi yang ditemukan dalam penyelidikan. Tanpa kunci, pengetahuan tentang alamat tidak akan memberi pemerintah kemampuan untuk memindahkan dana, karena 2022.

Pengambilalihan tersebut menciptakan masalah hukum baru: siapa yang berhak atas aset-aset yang jumlahnya sama, tetapi nilai dolarinya berubah secara dramatis? Pelanggan asli, bursa, serta kreditor lainnya bisa memiliki argumen yang berbeda-beda. Kepemilikan di rantai di tangan otoritas tidak secara otomatis menentukan pembagian yang adil; itu tetap menjadi tugas pengadilan dan proses hukum.

Lichtenstein pada tahun 2023 mengakui bahwa dia telah melakukan peretasan Bitfinex dan kemudian mencuci uang yang dicuri. Morgan mengakui keterlibatannya dalam mencuci keuntungan. Pengakuan ini memisahkan tuduhan sebelumnya dari peran yang telah dibuktikan secara hukum: mereka bukan hanya pasangan yang ditemukan di dekat kunci, tetapi orang-orang yang menerima tanggung jawab atas tindakan tertentu.

Pada bulan November 2024 Lichtenstein dijatuhi hukuman lima tahun penjara. Putusan itu datang delapan tahun setelah pencurian. Jangka waktu yang lama ini menunjukkan kedua sisi dari buku besar publik: penyelidikan dapat memakan waktu bertahun-tahun, tetapi data historis tidak dapat diubah dan transaksi lama dapat dianalisis kembali dengan informasi baru.

Cerita ini sering digunakan sebagai bukti bahwa Bitcoin tidak anonim. Istilah yang lebih tepat adalah pseudonimitas. Blockchain secara permanen menunjukkan jumlah dan hubungan antar alamat, tetapi identitas diberikan oleh koneksi dengan dunia luar. Jika seseorang tidak membuat koneksi, nama di rantai tidak ada. Jika mereka melakukannya, maka mereka dapat mengungkapkan sejarah yang sudah berusia tahun.

Analisis blockchain tidaklah seperti kamera yang mengetahui segalanya. Ia bekerja dengan probabilitas, pola, dan data dari lembaga-lembaga. Dalam kasus Bitfinex, transaksi publik dilengkapi dengan perintah pengadilan, catatan bursa, data cloud, dan file yang disita yang berisi kunci. Barulah dengan kombinasi semua itu, memungkinkan untuk beralih dari grafik ke individu dan dari pelacakan ke penyitaan.

Serangan Bitfinex menghubungkan tiga cerita berbeda yang harus dipisahkan: kegagalan layanan custodial pada tahun 2016, pemisahan perusahaan dan kompensasi kerugian, serta penyelidikan pidana pencucian uang kemudian. Blockchain menghubungkan semua bagian dengan jejak abadi, tetapi tidak satu pun yang dapat diselesaikan sendiri. Tidak melupakan transaksi; orang-orang harus mengetahui apa artinya dan siapa yang bertanggung jawab setelah bertahun-tahun.

Kasus ini menolak pelajaran sederhana bahwa blockchain publik entah menjamin anonimitas penuh atau justru mengungkap setiap orang. Alamat-alamat itu terlihat, tetapi nama-nama tidak tertulis di dalamnya. Penyelidikan baru memperoleh makna ketika gerakan pada rantai dihubungkan dengan akun layanan, dokumen, perangkat, dan akhirnya kunci-kunci yang memungkinkan koin dipindahkan. Setiap langkah berikutnya dapat memperkuat atau membantah hipotesis. Pelacakan rantai adalah peta, bukan vonis. Pelan-pelan inilah yang menjelaskan jarak enam tahun antara pencurian dan penyitaan besar: jejak tetap ada, tetapi mengubahnya menjadi identitas dan bukti membutuhkan pekerjaan di luar blockchain serta prosedur yang harus bertahan di pengadilan.