Yellow.com

Satu aktor negara berhasil menguasai dua pertiga dari setiap dolar yang dicuri dari ekosistem kripto global sepanjang paruh pertama 2026.

Ini bukan sekadar selisih pembulatan. Bukan pula akibat satu aksi perampokan spektakuler semata.

Angka itu lahir dari operasi peretasan yang terstruktur dan terindustrialisasi — dijalankan hampir satu dekade dengan metode yang terus diasah, dan kini melampaui gabungan seluruh aktor ancaman lain di sektor kripto.

Skalanya mencengangkan, bahkan bila dibandingkan dengan standar kejahatan kripto yang memang selalu bergelimang angka fantastis.

Kelompok yang dikaitkan dengan Korea Utara menyumbang 66,2% dari total kerugian peretasan aset digital global pada semester I 2026, menurut data yang beredar di kalangan peneliti keamanan blockchain pekan ini.

Konsentrasi kerugian pada satu klaster ancaman ini menandai pergeseran kualitatif dalam profil risiko seluruh industri. Dan itu terjadi di saat arus modal institusional kembali mengalir ke kripto pada kecepatan tercepat sejak 2021.

TL;DR

Peretas terkait Korea Utara menguasai 66,2% dari seluruh kerugian peretasan kripto pada paruh pertama 2026, level tertinggi konsentrasi pencurian kripto oleh aktor negara.

Lazarus Group dan unit DPRK terkait berevolusi dari pembobolan bursa oportunistis menjadi operasi terstruktur yang menyasar protokol DeFi, jembatan lintas-rantai, dan rekayasa sosial terhadap pengembang.

Dana hasil curian mengalir langsung ke pembiayaan program senjata Korea Utara, menjadikan keamanan kripto isu geopolitik yang kini ditangani dengan prioritas tinggi oleh regulator di Washington, Brussel, dan Seoul.

Angka 66% dan Apa Sebenarnya yang Diukur

Sebelum membedah implikasi strategisnya, metodologi di balik angka ini perlu dicermati.

Angka 66,2% merujuk pada porsi dari total kerugian peretasan kripto yang terverifikasi dan dapat dikaitkan dengan dompet terkait DPRK pada semester I 2026 — berbasis forensik on-chain yang melacak aliran dana mulai dari titik pencurian, penggunaan mixer, hingga proses “cash out”.

Chainalysis, yang selama ini menerbitkan data longitudinal paling komprehensif soal kejahatan kripto, dalam 2024 Crime Report melaporkan bahwa kelompok terkait Korea Utara mencuri sekitar US$1,34 miliar dari 47 insiden sepanjang 2023 — setara 61% dari total nilai pencurian tahun itu.

Angka semester I 2026 menunjukkan konsentrasi yang kian mengerucut. Kesenjangan antara kapabilitas DPRK dan aktor ancaman lain tampak melebar, bukan menyempit.

Porsi 66,2% ini adalah konsentrasi tertinggi pencurian aset digital oleh aktor negara yang pernah tercatat dalam periode enam bulan.

Penting untuk menyoroti apa yang tidak tercakup dalam angka 66% tersebut.

Angka itu tidak termasuk exit scam, rug pull, dan penipuan — yang oleh Chainalysis dikategorikan terpisah dari peretasan. Penyebutnya adalah kerugian peretasan yang terverifikasi saja.

Jika seluruh kategori kejahatan kripto disatukan, persentase DPRK akan turun. Namun nilai absolut dana yang dicuri tetap tidak berubah.

Lazarus Group, Dari Peretas Bank Menjadi “Raksasa” Kripto

Lazarus Group — sebutan payung yang digunakan intelijen AS dan peneliti swasta untuk unit siber DPRK paling mumpuni — awalnya bukan berfokus pada kripto.

Rekam jejak awalnya mencakup serangan destruktif, pembobolan bank melalui eksploitasi jaringan SWIFT, dan ransomware.

Peralihan ke kripto berlangsung bertahap. Fase serius dimulai sekitar 2017 ketika mereka membidik bursa-bursa Korea Selatan — lalu melonjak tajam pasca kebobolan Ronin Network pada 2022.

Peretasan Ronin, di mana Lazarus Group membawa kabur sekitar US$625 juta dari sidechain Axie Infinity, menjadi titik balik strategis.

Insiden itu menunjukkan bahwa infrastruktur DeFi — dengan kompleksitas smart contract, dependensi jembatan lintas-rantai, dan kerentanan rekayasa sosial terhadap pengembang — menawarkan permukaan serangan jauh lebih menguntungkan ketimbang bursa tersentralisasi yang sudah mengeraskan pertahanannya setelah satu dekade kebobolan.

Pencurian US$625 juta pada Maret 2022 itu masih menjadi peretasan DeFi tunggal terbesar yang tercatat. Kasus tersebut menjadi template operasional bagi kampanye kripto DPRK berikutnya.

Sejak 2022, kelompok ini secara sistematis mengasah tiga vektor serangan utama.

Pertama, kompromi kredensial pengembang — lazimnya lewat tawaran kerja palsu di LinkedIn yang menginstal malware ketika target membuka dokumen atau menjalankan repository.

Kedua, eksploitasi jembatan lintas-rantai, dengan menyasar logika smart contract yang memverifikasi transfer aset antar jaringan.

Ketiga, serangan supply chain terhadap dependensi perangkat lunak yang digunakan protokol kripto — taktik yang populer di dunia keamanan siber tradisional, kini diadaptasi untuk target blockchain.

Target Utama Bergeser dari Bursa ke DeFi

Sejarah awal peretasan besar di kripto ditulis oleh pembobolan bursa tersentralisasi. Mt. Gox pada 2014, Bitfinex pada 2016, Coincheck pada 2018. Polanya banyak mengandalkan kompromi infrastruktur hot wallet, eksploitasi celah API, atau korupsi orang dalam. Pelakunya sering kali kelompok kriminal oportunistis, bukan aktor negara dengan dukungan institusional.

Playbook DPRK saat ini sangat berbeda. Laporan TRM Labs bertajuk 2024 Crypto Threat Intelligence mencatat porsi pencurian kripto DPRK yang bersumber dari eksploitasi protokol DeFi — bukan lagi pembobolan bursa tersentralisasi — melonjak dari sekitar 30% pada 2021 menjadi lebih dari 70% pada 2024. Pergeseran ini sejalan dengan pertumbuhan likuiditas on-chain itu sendiri.

Total value locked (TVL) di protokol DeFi global sempat menembus US$180 miliar pada akhir 2021, lalu anjlok selama bear market 2022, dan kini pulih ke level yang kembali menarik bagi pelaku serangan. Data DefiLlama (https://defillama.com/) per pertengahan 2026 menunjukkan total TVL DeFi di atas US$110 miliar lintas berbagai chain, dengan jembatan lintas-rantai mengendalikan porsi nilai yang tak proporsional dalam bentuk pool terpusat.

Kontrak jembatan DeFi menjadi target yang sangat menarik bagi penyerang kelas atas karena mereka mengonsentrasikan likuiditas besar dalam satu smart contract, sembari bergantung pada mekanisme validasi pesan lintas-rantai yang kompleks dan sulit diaudit tuntas.

Jembatan lintas-rantai menjadi “obsesi” tersendiri bagi unit DPRK karena profil risikonya yang unik. Kontrak jembatan harus memercayai klaim dari chain lain yang tidak bisa diverifikasi secara native. Logika validasinya rumit, sering berbasis komite multi-signature atau bukti light client. Kedua pendekatan ini menciptakan asumsi yang bisa dieksploitasi. Ronin Bridge menggunakan skema multisig sembilan-dari-sembilan yang pada praktiknya bisa direduksi menjadi ambang lima-dari-sembilan lewat rekayasa sosial. Ambang lima tanda tangan itu kemudian dipenuhi penyerang untuk mengotorisasi penarikan yang menguras jembatan.

Vektor Tawaran Kerja Palsu dan Perburuan Pengembang

Elemen paling konsisten namun kerap diremehkan dalam kampanye DPRK sepanjang semester I 2026 adalah infrastruktur rekayasa sosial yang menyasar pengembang dan staf protokol kripto. Ini bukan sekadar “hack” teknis. Ini operasi intelijen berbasis hubungan jangka panjang yang pada akhirnya bermuara pada eksekusi kode berbahaya.

Playbook standar, yang dipaparkan rinci oleh Mandiant dalam analisis ancaman finansial APT38 (https://www.mandiant.com/resources/apt38-details-on-new-north-korean-regime-backed-threat-group) dan oleh Cybersecurity and Infrastructure Security Agency AS dalam CISA Alert AA22-108A, melibatkan operator DPRK yang membuat profil profesional meyakinkan di LinkedIn, sering dengan foto profil hasil AI. Mereka mendekati pengembang yang bekerja di protokol kripto, menawarkan pekerjaan kontrak, wawancara, atau peluang review kode.

Dalam sejumlah kasus yang terdokumentasi, operator DPRK memelihara hubungan di LinkedIn dengan target pengembang kripto selama berminggu-minggu bahkan berbulan-bulan sebelum mengirim payload malware, membangun kepercayaan lewat diskusi teknis yang kredibel mengenai basis kode spesifik milik target.

Ketika target merespons, penyerang pada akhirnya mengirim file yang harus dijalankan. Bisa berupa PDF dengan payload tertanam, repository GitHub yang mengandung dependensi berbahaya, atau uji teknis palsu yang memasang backdoor.

Setelah memperoleh pijakan di perangkat pengembang, penyerang dapat memanen private key, token sesi untuk sistem internal, dan kredensial infrastruktur cloud yang digunakan untuk mengelola deployment protokol.

Tingkat kecanggihan tradecraft ini mencerminkan investasi institusional pada pengembangan kapabilitas yang sulit disaingi kelompok kriminal swasta mana pun. Unit siber DPRK adalah pegawai negara yang berlatih penuh waktu, menjalankan disiplin keamanan operasi, dan mengakumulasi pengetahuan bertahun-tahun soal protokol mana yang paling rentan dan pengembang mana yang paling mudah didekati.

Infrastruktur Pencucian di Balik Angka Pencurian

Mencuri kripto baru langkah awal. Mengubahnya menjadi pemasukan yang dapat dimanfaatkan rezim membutuhkan rantai pencucian yang kompleks, yang kini menjadi fokus riset on-chain intensif. Pergerakan dana pasca pencurian inilah yang paling sering menjadi dasar atribusi serangan ke DPRK, karena kelompok ini memiliki pola perilaku yang dapat diidentifikasi. pola pergerakan dan teknik pengaburan dana.

Chainalysis mencatat alur pencucian standar Korea Utara (DPRK) sebagai proses multistage. Aset curian terlebih dulu ditukar ke Ethereum (ETH) atau Bitcoin (BTC) lewat decentralized exchange on-chain, mengonversi token spesifik protokol yang illiquid menjadi aset kripto yang jauh lebih likuid. Aset-aset ini kemudian dialirkan melalui layanan mixing. Secara historis, kelompok ini menggunakan Tornado Cash hingga platform tersebut dikenai sanksi OFAC pada Agustus 2022, memaksa mereka beradaptasi ke alat obfuscation lain seperti Sinbad dan Yomix — yang pada akhirnya juga turut menjadi sasaran sanksi AS.

OFAC menetapkan mixer Sinbad sebagai entitas bersanksi pada November 2023 dan mixer Yomix pada April 2025, menegaskan dinamika “kucing dan tikus” di mana setiap alat pencucian DPRK pada akhirnya terkena aksi sanksi dan memaksa kelompok ini terus berpindah ke infrastruktur baru.

Pasca-mixing, dana dialirkan melalui jaringan akun bursa berlapis (nested exchange accounts), broker OTC di yurisdiksi dengan penegakan AML lemah, serta platform peer-to-peer. Jalur keluar (off-ramp) yang paling sering digunakan sejauh ini adalah bursa kripto di Asia Timur dan Asia Tenggara dengan penerapan KYC yang longgar. Laporan Panel Ahli PBB tahun 2024 mengenai Korea Utara menyebut secara spesifik bahwa hasil pencurian kripto telah menjadi salah satu sumber utama pendanaan program rudal balistik DPRK, memperkirakan bahwa sekitar 40% kebutuhan devisa untuk pengembangan senjata pemusnah massal dibiayai oleh pendapatan kripto.

Respons Regulasi dan Batas-Batasnya

Pemerintah AS telah mengerahkan berbagai instrumen terhadap operasi kripto DPRK, termasuk penetapan sanksi OFAC atas dompet dan layanan mixing, pemberitahuan atribusi FBI terhadap serangan-serangan tertentu, serta imbauan bersama dengan lembaga intelijen sekutu. Departemen Kehakiman AS (DOJ) telah mendakwa sejumlah operator DPRK yang diidentifikasi, namun penegakan hukum praktis sulit dilakukan karena tidak adanya mekanisme ekstradisi.

Keterbatasan respons AS bersifat struktural. Sanksi terhadap alamat dompet efektif hanya untuk pelaku yang tetap bergantung pada infrastruktur keuangan teregulasi sebagai off-ramp. Dampaknya minim terhadap aktor canggih yang sengaja memanfaatkan yurisdiksi di luar jangkauan AML AS. Aksi OFAC terhadap Tornado Cash penting dan kontroversial, tetapi DPRK hanya butuh beberapa bulan untuk beradaptasi dan bermigrasi ke infrastruktur baru.

Departemen Kehakiman telah menjerat tujuh peretas militer DPRK terkait operasi pencurian kripto, namun tak satu pun yang sampai ke meja hijau. Dakwaan lebih berfungsi sebagai alat atribusi formal dan sinyal pencegah bagi layanan pihak ketiga yang berpotensi memfasilitasi pergerakan dana.

Financial Action Task Force (FATF), badan penetap standar AML antar-pemerintah, telah menaikkan Korea Utara ke kategori risiko tertinggi dan terus menyerukan anggota-anggotanya menerapkan uji tuntas yang diperketat untuk setiap transaksi yang beririsan dengan DPRK. Namun rekomendasi FATF bersifat tidak mengikat, dan yurisdiksi yang paling berguna bagi DPRK untuk off-ramp umumnya bukan anggota FATF, atau anggota dengan rekam jejak implementasi yang lemah.

Regulasi kripto Uni Eropa Markets in Crypto-Assets (MiCA), yang berlaku penuh sejak akhir 2024, memasukkan ketentuan travel rule yang mewajibkan identifikasi pihak lawan (counterparty) untuk transfer kripto di atas ambang tertentu. Pendukungnya menilai aturan ini menutup sebagian celah jalur off-ramp OTC. Para pengkritik menilai operasi DPRK cukup canggih untuk menghindari persyaratan KYC dengan menggunakan dompet non-kustodial dan yurisdiksi di luar jangkauan regulasi Uni Eropa.

Apa yang Sebenarnya Ditunjukkan Forensik On-Chain

Atribusi pencurian kripto ke Korea Utara bukan klaim politis, melainkan bersandar pada data on-chain yang dapat diverifikasi dan direplikasi secara independen oleh peneliti mana pun yang memiliki akses ke data blockchain publik dan alat clustering dompet. Memahami mekanisme atribusi ini krusial untuk menilai kredibilitasnya.

Saat DPRK mengeksploitasi sebuah protokol, transaksi awal langsung terlihat di blockchain. Dana curian berpindah ke dompet yang dikendalikan pelaku, lalu menjalani rangkaian swap, transaksi lintas-chain (bridging), dan aktivitas mixing. Elliptic, perusahaan analitik blockchain lain, telah menerbitkan metodologi rinci yang menunjukkan bahwa dompet DPRK mengelompok (cluster) berdasarkan pola perilaku tertentu: pola waktu transaksi, jalur swap favorit, karakteristik nilai “debu” (dust) yang tersisa di dompet perantara, serta kecenderungan menahan dana curian di serangkaian dompet terhubung untuk jangka waktu lama sebelum digerakkan lagi.

Analisis clustering dompet Elliptic telah mengidentifikasi lebih dari 15.000 alamat terkait operasi pencurian DPRK, membentuk graf dompet saling-terkait yang dimanfaatkan analis forensik untuk melacak aliran dana bahkan setelah melewati mixer.

Notifikasi atribusi FBI untuk serangan tertentu — termasuk peretasan Alphapo dan eksploitasi Atomic Wallet pada 2023 — berbasis pada metodologi forensik ini, ditambah intelijen sinyal (SIGINT) terklasifikasi.

Kombinasi data on-chain publik dan intelijen pemerintah menghasilkan tingkat keyakinan atribusi yang melampaui standar tipikal investigasi kejahatan siber tradisional, yang tak memiliki jejak on-chain serinci ini.

Skema Pekerja TI sebagai Kanal Pendapatan Paralel

Terpisah dari operasi peretasan, DPRK mengelola program pendapatan kripto paralel yang mulai banyak disorot penegak hukum pada 2024–2025. Ribuan warga Korea Utara, dengan identitas palsu berbasis dokumen hasil generatif AI dan video deepfake, berhasil mendapatkan pekerjaan jarak jauh di perusahaan kripto dan startup Web3 di Amerika Utara dan Eropa.

Departemen Kehakiman AS mendakwa 14 individu pada Mei 2024 atas skema penempatan pekerja TI Korea Utara di lebih dari 300 perusahaan AS, dengan penghasilan yang kemudian disalurkan kembali ke DPRK.

Dakwaan tersebut menyebut tiap pekerja meraup penghasilan antara US$250.000 hingga US$300.000 per tahun, dengan total skema menghasilkan puluhan juta dolar selama beberapa tahun.

Dakwaan DOJ Mei 2024 mendokumentasikan pekerja TI Korea Utara yang memperoleh hingga US$300.000 per tahun per orang di perusahaan kripto dan teknologi AS, dengan dana dikirim ke DPRK melalui jaringan fasilitator di AS, Inggris, dan Tiongkok.

Skema pekerja TI ini dinilai sangat berbahaya bagi industri kripto karena menanamkan akses orang dalam (insider) ke dalam tim pengembang. Seorang pekerja TI dengan kredensial sah dan akses ke repositori kode jauh lebih berisiko daripada penyerang eksternal yang mencoba menembus pertahanan perimeter.

Sejumlah peneliti keamanan telah mencatat bahwa pola mencurigakan dalam commit kode, akses repositori yang tak dapat dijelaskan, dan jam kerja yang tak lazim kini diperlakukan sebagai indikator potensial keberadaan pekerja TI DPRK oleh perusahaan kripto yang lebih waspada.

Irisan antara skema pekerja TI dan kampanye rekayasa sosial terhadap pengembang membuat permukaan serangan (attack surface) DPRK terhadap industri kripto menjadi multidimensi. Peretas eksternal, pengembang yang dikompromikan lewat tawaran kerja palsu, serta insider yang ditanam sekaligus menjadi vektor ancaman aktif yang berjalan paralel.

Respons Keamanan Industri yang Lebih Luas

Respons industri terhadap ancaman DPRK terbilang substansial, namun masih timpang.

Protokol dengan sumber daya terbesar kini menjalankan audit keamanan pra-peluncuran yang ekstensif, program bug bounty dengan hadiah hingga ratusan ribu dolar, dan memiliki tim keamanan internal dengan latar belakang riset ofensif.

Konsentrasi belanja keamanan di lapisan protokol papan atas ini mencerminkan hukum daya (power law) yang sama yang mengatur ekosistem kripto secara umum.

Immunefi, platform bug bounty Web3 terkemuka, melaporkan total pembayaran bounty melampaui US$100 juta hingga pertengahan 2025 — membantu mengidentifikasi kerentanan yang berpotensi menimbulkan kerugian bernilai miliaran dolar jika dieksploitasi.

Pembayaran tunggal terbesar dalam sejarah platform ini mencapai US$10 juta kepada white-hat researcher yang menemukan celah kritis di sebuah protokol DeFi besar sebelum sempat dimanfaatkan penyerang.

Namun konsentrasi belanja keamanan di protokol top-tier meninggalkan banyak proyek DeFi skala lebih kecil — yang secara kolektif tetap mengelola dana bernilai miliaran dolar (TVL) — dalam kondisi jauh lebih rentan.

Masalah jembatan lintas-chain, yang berada di jantung begitu banyak peretasan besar, telah memicu lahirnya respons arsitektural tersendiri.

Salah satu yang utama adalah pergeseran menuju model bridging yang lebih minim kepercayaan (trust-minimized), menggunakan zero-knowledge proof untuk memverifikasi state di chain sumber tanpa harus mengandalkan komite validator.

Sejumlah proyek seperti Succinct Labs dan Polyhedra Network telah membangun infrastruktur ZK light client yang secara spesifik dirancang untuk menghilangkan asumsi komite tepercaya yang membuat jembatan seperti Ronin dapat dieksploitasi.

ApakahInfrastruktur keamanan berkembang pesat, tetapi belum jelas apakah kecepatannya benar‑benar melampaui laju peningkatan kapabilitas siber Korea Utara.

Pangsa 66% pada semester I 2026 menunjukkan bahwa sekalipun industri sudah menggelontorkan investasi besar, para penyerang masih mampu menyamai langkahnya.

Juga Baca: SpaceXAI Incar “Pembunuh Claude” Berbasis Cursor Bahkan Sebelum Deal $60 Miliar Rampung

Taruhan Geopolitik dan Arah Berikutnya

Pencurian kripto adalah sumber devisa terpenting bagi Korea Utara.

Ini bukan sekadar kiasan. Ini menggambarkan realitas operasional yang terdokumentasi — dan diakui oleh Departemen Keuangan AS, PBB, serta berbagai dinas intelijen negara sekutu.

Panel Ahli PBB memperkirakan hasil curian kripto Korut mencapai sekitar US$3 miliar dalam periode 2017–2023, dengan laju yang kian meningkat dalam beberapa tahun terakhir.

Dana tersebut bukan sekadar mengendap di kas rezim dalam pengertian konvensional.

Alirannya langsung mengarah ke program persenjataan — terutama pengembangan rudal balistik dan miniaturisasi hulu ledak nuklir yang menjadi prioritas strategis utama Pyongyang.

Setiap dolar yang digasak dari protokol DeFi pada dasarnya berpotensi berubah menjadi kapasitas material dan teknis bagi sistem senjata yang secara aktif dimodelkan dalam skenario ancaman oleh perencana pertahanan AS, Korea Selatan, dan Jepang.

Panel Ahli PBB mengaitkan langsung sekitar US$3 miliar hasil pencurian sepanjang 2017–2023 itu dengan pendanaan program senjata — menjadikan keamanan blockchain sebagai variabel nyata dalam kalkulasi keamanan kawasan Asia Timur Laut.

Baca Berikutnya: 5 Rival Fable 5 yang Lebih Murah: Jangan Bayar Terlalu Mahal untuk Kerja AI Harian

Penutup

Angka pangsa 66,2% pada semester I 2026 bukan sekadar anomali statistik.

Itu adalah sinyal kondisi terkini dari pertarungan antara salah satu program siber negara paling canggih di dunia dan sebuah industri yang secara historis lebih mengutamakan kecepatan meluncurkan produk daripada kedalaman keamanan operasional.

Lintasan pertarungan ini — dari serangan oportunistik ke bursa kripto pada 2017, berlanjut ke pembobolan jembatan Ronin pada 2022, hingga kampanye multi‑vektor saat ini yang secara simultan menyasar pengembang, jembatan lintas‑rantai, dan orang dalam — menunjukkan pelaku ancaman yang belajar, beradaptasi, dan melakukan eskalasi lebih cepat daripada kemampuan industri mengimbangi lewat investasi pertahanan.

Faktor struktural yang menguntungkan Korea Utara juga tidak akan menghilang dalam waktu dekat.

Pyongyang memiliki angkatan kerja siber institusional tanpa “godaan” sektor swasta, tanpa akuntabilitas publik, dan dengan mandat negara untuk menghasilkan devisa dengan cara apa pun yang tersedia.

Sebaliknya, industri kripto memiliki lanskap keamanan yang terfragmentasi. Protokol dengan nilai terbesar memang kian terlindungi — namun deretan panjang proyek DeFi berskala kecil tetap kronis kekurangan sumber daya.

Sementara itu, jembatan lintas‑rantai — infrastruktur yang menghubungkan “pulau‑pulau likuiditas” dalam ekosistem kripto — secara arsitektural sangat kompleks, sehingga terus menyisakan asumsi‑asumsi desain yang dapat dieksploitasi secara berkelanjutan.

Pencurian Kripto Naik Kelas, Korea Utara Kuasai Dua Pertiga Nilai Jarahan