Industri kripto kembali diguncang insiden keamanan besar. Platform pemrosesan aset digital Coinsbuy, yang melayani klien bisnis dan pedagang (merchant) sejak 2019, dilaporkan kehilangan lebih dari US$8 juta setelah diserang peretas yang beroperasi secara terkoordinasi di dua jaringan blockchain sekaligus, yaitu TRON dan Ethereum. Insiden ini terjadi pada Minggu, 9 Agustus 2026, dan menjadi peretasan publik pertama yang menimpa platform tersebut sejak diluncurkan.
Berdasarkan analisis on-chain dari tim riset blockchain BlockWatchdog serta perusahaan pemantau Specter, serangan dimulai dengan sebuah transaksi kecil senilai 5 USDT di jaringan TRON sebagai semacam "uji coba". Hanya dalam hitungan menit, pelaku kemudian berhasil menguras sekitar 6,04 juta USDT dari delapan dompet Coinsbuy di TRON.
Hampir bersamaan, tiga dompet Coinsbuy di jaringan Ethereum juga dikosongkan, kehilangan sekitar 1,89 juta USDT dan 77 ETH. Dana ETH tersebut kemudian ditukar melalui protokol pertukaran terdesentralisasi 1inch menggunakan dompet baru yang dibuat pada hari yang sama.
Yang membuat serangan ini menarik perhatian para peneliti adalah caranya menghubungkan dua peristiwa yang tampak terpisah. Catatan on-chain menunjukkan bahwa kedua serangan di TRON dan Ethereum terhubung melalui layanan penukaran lintas rantai (cross-chain swapper) bernama Bridgers, yang kontrak pembayarannya di Ethereum mengirim dana langsung ke dompet penukaran milik pelaku. Temuan ini mengungkap bahwa dua insiden yang semula terlihat independen sebenarnya merupakan satu operasi tunggal yang direncanakan dengan matang.
Setelah berhasil mencuri dana, pelaku dengan cepat memindahkan sekitar 79 persen atau setara US$6,34 juta dari total curian melalui layanan pertukaran instan FixedFloat, menggunakan sekitar 50 alamat dompet sekali pakai untuk mempersulit pelacakan. Sebagian dana lain, sekitar 150 ETH, dialihkan melalui platform ChangeNOW.
Layanan ChangeNOW sendiri dilaporkan telah membekukan dana senilai ratusan ribu dolar setelah menerima laporan dari firma investigasi Specter. Sementara itu, sekitar 282 ETH atau setara US$542 ribu di lima alamat dompet dilaporkan masih belum bergerak hingga saat ini, membuka peluang bagi penegak hukum dan peneliti untuk melacak lebih jauh.
Sejumlah laporan juga menyebutkan bahwa sebagian dana hasil curian sempat dialirkan ke Monero, koin privasi yang dirancang khusus untuk mempersulit pelacakan transaksi, menambah tingkat kerumitan investigasi.
Menariknya, dalam waktu kurang dari 24 jam setelah serangan, Coinsbuy mengisi ulang dompet-dompet yang terkuras hingga mendekati saldo semula, dengan selisih kurang dari 0,05 persen. Para peneliti keamanan menilai langkah cepat ini sebagai indikasi bahwa kunci privat (private key) perusahaan kemungkinan besar tidak ikut dibobol, karena perusahaan tampak masih memiliki kendali penuh atas aset cadangannya.
Dalam pernyataan resminya kepada media, Coinsbuy menegaskan bahwa insiden ini telah "terkendali" dan seluruh dana yang terdampak telah ditutupi sepenuhnya menggunakan cadangan milik perusahaan sendiri. Perusahaan juga memastikan tidak ada nasabah yang mengalami kerugian, serta menyatakan bahwa platform tetap stabil dan beroperasi normal selama proses investigasi berlangsung. Namun demikian, Coinsbuy belum bersedia mengungkap detail teknis lebih lanjut mengenai bagaimana peretas bisa masuk ke sistem mereka.
Hingga kini, vektor serangan atau celah yang dimanfaatkan peretas untuk menembus sistem Coinsbuy belum berhasil diidentifikasi secara pasti. BlockWatchdog berspekulasi bahwa pelaku kemungkinan memperoleh akses ke sistem penarikan dana (withdrawal system) milik Coinsbuy, meski data on-chain tidak menunjukkan secara jelas bagaimana jalur tersebut bisa ditembus.
Para peneliti juga memastikan tidak ada tumpang tindih alamat dompet antara pelaku serangan Coinsbuy dengan pelaku peretasan platform Triple-A pada 24 Juli lalu, sehingga kedua insiden diyakini dilakukan oleh kelompok yang berbeda dengan pola pencucian dana yang juga berbeda.
Peretasan Coinsbuy menambah panjang daftar insiden keamanan di industri kripto sepanjang 2026. Sektor ini diperkirakan telah kehilangan sekitar US$972 juta akibat berbagai peretasan hingga akhir Juli 2026, belum termasuk insiden Coinsbuy. Beberapa pekan sebelumnya, jaringan blockchain Wemix juga melaporkan bahwa penyerang berhasil mengambil alih kepemilikan stablecoin WEMIX$, sementara dompet kripto SecondFi mengumumkan akan menghentikan operasinya setelah mengalami pembobolan senilai US$2,4 juta.
Insiden-insiden ini semakin menegaskan pentingnya manajemen kunci yang ketat, penerapan sistem multi-tanda tangan (multi-signature), serta pemantauan real-time bagi platform yang menangani transaksi kripto skala besar. Bagi pengguna dan mitra yang berhubungan dengan Coinsbuy, para pakar mengimbau agar tetap waspada dan memantau aktivitas mencurigakan pada alamat-alamat yang terkait dengan platform tersebut.
