Komisi Sekuritas Thailand mengajukan tuntutan pidana terhadap bursa kripto Bitkub Online Co., Ltd. dan dua mantan direktur atas dugaan pengungkapan tidak akurat terkait dampak cyberattack yang terjadi pada Mei 2021 terhadap aset digital nasabah.
APA YANG TERJADI?
Pada 23 Juli 2026, Thailand SEC mengajukan pengaduan pidana ke Divisi Penekanan Kejahatan Ekonomi terhadap Bitkub Online Co., Ltd. dan mantan direktur Sakolkorn Sakavee serta Thaweesap Rawan. Regulator mengklaim bahwa laporan modal bersih harian yang diserahkan antara 10 Mei dan 30 Oktober 2021 gagal mencerminkan pengurangan material pada kepemilikan aset digital yang disebabkan oleh cyberattack. Laporan tersebut tidak mengungkapkan dampak pencurian terhadap saldo aset perusahaan. SEC juga menuduh kedua mantan direktur membuat entri palsu dalam dokumen perusahaan yang memberikan kesan bahwa aset nasabah masih disimpan secara normal dan perusahaan tidak mengalami kerugian. Bitkub membantah tuduhan fraud, menyatakan bahwa keputusan tidak mengungkapkan insiden dibuat untuk mencegah bank run dan kerugian lebih besar bagi nasabah. Co-founder Bitkub kemudian menyerap kerugian finansial dengan membeli aset digital yang setara dan mentransfernya ke perusahaan.
DETAIL TEKNIS
Cyberattack terjadi pada awal Mei 2021 ketika salah satu wallet aset digital Bitkub dikompromikan oleh kriminal siber. Individu yang bertanggung jawab atas kewajiban pengungkapan sengaja menahan informasi tentang kompromi wallet untuk menghindari bank run, yaitu penarikan massal aset digital oleh nasabah setelah mengetahui adanya pencurian, yang dapat membuat perusahaan tidak mampu mengganti aset yang dicuri selama proses recovery masih berlangsung. Bitkub menyatakan bahwa pada saat kejadian, semua sistem keamanan wallet aset digital mereka mematuhi standar yang ditetapkan otoritas dan telah diaudit. Meskipun aset yang dicuri tidak pernah dapat dipulihkan, co-founder secara sukarela menyerap kerugian dengan membeli aset digital yang cocok dengan jenis dan kuantitas yang dicuri, sehingga baik perusahaan maupun nasabah tidak mengalami kerugian finansial akibat insiden tersebut.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki ekosistem bursa kripto yang sedang berkembang dengan regulasi yang masih matang di bawah Badan Pengawas Perdagangan Berjangka Komoditi Nasional. Kasus Bitkub menunjukkan bagaimana cyberattack terhadap bursa kripto dapat menghasilkan konsekuensi regulasi dan pidana yang berlangsung bertahun-tahun setelah insiden awal. Bursa kripto Indonesia seperti Indodax, Tokocrypto, dan lainnya menghadapi risiko serupa: kewajiban pengungkapan insiden keamanan harus seimbang dengan risiko reputasi dan potensi panic withdrawal oleh nasabah. UU PDP dan regulasi sektor keuangan mengharuskan pelaporan pelanggaran data, namun tidak ada panduan yang jelas tentang waktu dan cakupan pengungkapan untuk insiden kripto yang melibatkan aset digital. Kasus ini menekankan pentingnya transparansi dan kebijakan incident disclosure yang jelas sejak dini, karena penundaan pengungkapan dapat dianggap sebagai tindakan fraud atau cover-up oleh regulator.
REKOMENDASI MITIGASI
Bursa kripto harus memiliki rencana incident response yang mencakup protokol pengungkapan kepada regulator dan nasabah dengan jadwal yang jelas dan tidak ambigu. Pisahkan aset nasabah dalam cold storage dengan multi-signature dan asuransi siber yang mencakup pencurian aset digital. Audit keamanan wallet dan infrastruktur secara berkala oleh pihak ketiga independen. Terapkan monitoring real-time terhadap transaksi anomali pada wallet hot dan warm. Siapkan reserve darurat yang dapat segera mengganti aset nasabah jika terjadi kompromi. Bekerjasama dengan regulator untuk menetapkan standar pengungkapan insiden yang wajar sehingga tidak ada insentif untuk menunda laporan. Edukasi nasabah tentang risiko penyimpanan aset di bursa versus self-custody.
Analisa Retasan
Kasus Bitkub adalah contoh paradoks klasik dalam manajemen insiden keamanan siber: trade-off antara transparansi dan stabilitas. Pengambil keputusan di Bitkub sengaja menahan pengungkapan dengan niat mencegah bank run, sebuah skenario di mana pengetahuan publik tentang pencurian justru menyebabkan kerugian lebih besar daripada pencurian itu sendiri. Namun dari perspektif regulator, kegagalan mengungkapkan dampak material pada laporan modal bersih secara eksplisit merupakan pelanggaran kewajiban pelaporan. Ini menunjukkan bahwa kebijakan disclosure tidak boleh hanya bergantung pada pertimbangan bisnis internal, melainkan harus didasarkan pada framework regulasi yang telah disepakati sebelum insiden terjadi.
Dari sudut pandang teknis, argumen Bitkub bahwa sistem keamanan mereka mematuhi standar dan telah diaudit pada saat kejadian menunjukkan bahwa compliance dengan standar minimum tidak selalu cukup untuk mencegah kompromi. Standar audit yang ada mungkin tidak mencakup threat model yang cukup canggih untuk melindungi terhadap teknik kompromi wallet modern. Selain itu, keputusan co-founder untuk menyerap kerugian secara sukarela adalah bentuk responsible leadership yang jarang terjadi di industri, namun tidak menghapus pertanyaan mengapa pengungkapan tidak dilakukan dengan cara yang mematuhi regulasi.
Bagi industri kripto di Indonesia, kasus ini adalah peringatan bahwa cyberattack bukan hanya masalah teknis, melainkan juga masalah governance dan regulatory compliance. Jika bursa kripto lokal mengalami insiden serupa, apakah mereka memiliki rencana disclosure yang jelas? Apakah mereka memiliki reserve darurat untuk mengganti aset nasabah? Apakah mereka memiliki asuransi siber yang mencakup pencurian aset digital? Tanpa persiapan ini, bursa kripto Indonesia berisiko menghadapi konsekuensi hukum, finansial, dan reputasi yang sama atau lebih parah dari Bitkub. Regulator Indonesia perlu mempelajari dari kasus ini untuk menyusun pedoman incident disclosure yang spesifik untuk sektor aset digital.
Sumber: The Cyber Express
