Indonesia Menahan Peretas yang Terkait dengan Pencurian Kripto Markets.com Setelah Kerugian $398K

Sekilas

• Polisi Indonesia telah menangkap seorang peretas lokal yang dilaporkan mengeksploitasi celah keamanan dalam sistem deposit Markets.com untuk mencuri $398.000 dari platform tersebut.
• Tersangka diduga membuat empat akun palsu menggunakan data KTP nasional yang di-scrape dan memanipulasi sistem input platform untuk menghasilkan saldo USDT palsu.
• Polisi menyita barang bukti termasuk dompet dingin yang berisi 266.801 USDT senilai sekitar $4,2 juta, serta properti ruko di Bandung.

Pusat Seni, Fashion, dan Hiburan Decrypt.

Temukan SCENE

Otoritas Indonesia telah menangkap seorang peretas lokal yang diduga mengeksploitasi celah keamanan pada sistem deposit platform trading Markets.com untuk mencuri kripto senilai $398.000.

Polisi menahan tersangka, yang hanya diidentifikasi sebagai HS, pada hari Sabtu di Bandung, Jawa Barat, setelah adanya laporan dari Finalto International Limited, pemilik Markets.com yang berbasis di London, menurut laporan media lokal.

Operasi ini menyebabkan kerugian total sebesar $398.000 (Rp 6,67 miliar) bagi platform trading tersebut, dengan HS menghadapi dakwaan berdasarkan undang-undang kejahatan siber dan anti pencucian uang Indonesia, dengan ancaman hukuman hingga 15 tahun penjara dan denda hingga $900.000 (Rp 15 miliar).

Decrypt telah menghubungi Finalto International untuk komentar lebih lanjut.

Wakil Direktur Kejahatan Siber Andri Sudarmadi mengatakan penyidik mengungkap bagaimana HS diduga mengeksploitasi anomali pada sistem input nominal Markets.com.

Platform tersebut dilaporkan menghasilkan saldo USDT berdasarkan berapapun jumlah deposit yang dimasukkan penyerang, menciptakan celah untuk keuntungan palsu tanpa validasi backend yang memadai.

Menurut polisi, HS membuat empat akun palsu atas nama Hendra, Eko Saldi, Arif Prayoga, dan Tosin, dengan memperoleh data identitas asli melalui scraping data KTP Indonesia dari situs yang dapat diakses publik.

Pihak berwenang mengatakan tersangka, seorang distributor aksesoris komputer dan trader kripto sejak 2017, menggunakan pengalamannya untuk mengidentifikasi dan mengeksploitasi kerentanan sistem.

Polisi menyita laptop, ponsel, unit CPU, kartu ATM, ruko seluas 152 meter persegi di Bandung, dan dompet dingin berisi 266.801 USDT senilai sekitar $4,2 juta (Rp 4,45 miliar).

KYC “tidak cukup lagi”

Konsultan keamanan siber David Sehyeon Baek mengatakan kepada Decrypt bahwa data KTP yang di-scrape menunjukkan bahwa peretas tersebut adalah “seseorang yang terhubung dengan ekosistem data bawah tanah yang jauh lebih besar” daripada sekadar operator tunggal.

“Banyak bursa masih memperlakukan KYC seperti formalitas saja,” ujarnya, mencatat betapa mudahnya pelaku jahat dapat “membuat identitas palsu yang meyakinkan menggunakan data bocoran dan alat AI.”

“KYC tradisional saja memang tidak cukup lagi,” kata Baek, mendesak bursa untuk menerapkan “pemantauan berkelanjutan, intelijen perangkat dan jaringan, serta kolaborasi lintas platform yang lebih baik” untuk mendeteksi identitas sintetis sejak dini.

Baek mengatakan kasus ini sesuai dengan “tren industri yang sangat jelas.” Ia menjelaskan bahwa penyerang kini beralih dari peretasan smart contract yang rumit dan mencari “titik masuk yang lebih mudah di sistem Web2—seperti cacat logika bisnis, API lemah, kontrol akses yang rusak, dan validasi backend yang buruk.”

Jenis masalah ini dapat diatasi dengan “praktik pengkodean aman dasar, tinjauan kode internal, dan pengujian keamanan rutin,” tambah sang ahli.