BounceBit, platform restaking Bitcoin dan CeDeFi, resmi menutup permanen blockchain Layer 1 miliknya sendiri setelah seorang penyerang mengeksploitasi celah otorisasi untuk memindahkan 286,5 juta token BB — senilai sekitar $3 juta saat itu — dari sembilan akun. Alih-alih menambal celah tersebut, tim BounceBit justru memutuskan untuk meninggalkan chain itu sepenuhnya dan menerbitkan ulang BB sebagai token di BNB Chain.
Serangan ini berlangsung antara pukul 21:02 UTC pada 19 Agustus hingga 01:54 UTC pada 20 Agustus, mencakup 14 transaksi selama hampir lima jam sebelum produksi blok akhirnya dihentikan. Yang perlu digarisbawahi, tidak ada private key atau wallet pengguna yang bocor — eksploitasi ini justru menyasar celah pada sistem otorisasi chain itu sendiri, yang gagal memverifikasi apakah akun sumber yang ditunjuk benar-benar telah menyetujui sebuah transfer, sehingga penyerang bisa menamai akun mana pun sebagai sumber dana tanpa izin sama sekali.
Kenapa Menambal Kalau Bisa Pergi Saja
Akar masalahnya berasal dari fondasi teknis BounceBit Chain. Jaringan ini dibangun di atas stack software Evmos, dan celah spesifik tersebut bersarang di salah satu modul native stack itu. BounceBit menyatakan membangun ulang lingkungan untuk menambal celah tersebut secara benar bukan langkah yang praktis, karena proyek Evmos yang mendasarinya sendiri sudah dihentikan pengembangannya sejak Mei 2026 — membuat tim BounceBit harus mempertahankan infrastruktur yang krusial bagi keamanan, padahal pengembang aslinya sudah berhenti mendukungnya.
Itu menyisakan BounceBit dengan pilihan yang tidak biasa: menambal chain yang dibangun di atas software yang sudah ditinggalkan, atau bermigrasi sepenuhnya. Tim memilih migrasi. BB akan diterbitkan ulang sebagai token BEP-20 di BNB Chain, dengan saldo dipulihkan dari snapshot state BounceBit Chain pada blok 20.697.260 — tercatat pada pukul 21:02:35 UTC tanggal 19 Agustus, momen tepat sebelum transaksi tak sah pertama terjadi. 286,5 juta BB yang dipindahkan penyerang tidak akan ikut terbawa ke suplai baru, sehingga secara efektif membatalkan pencurian tersebut alih-alih memaksa protokol menanggung kerugiannya.
Baca juga: Coldcard Rombak Firmware Usai Eksploitasi Seed Bitcoin $130 Juta
Apa yang Perlu Diketahui Pengguna
BounceBit membingkai langkah ini sebagai lebih dari sekadar kontrol kerusakan, dengan mencatat bahwa BNB Chain sudah menampung sebagian besar aktivitas pengguna protokolnya, ditambah likuiditas yang lebih dalam, dukungan wallet yang lebih luas, dan basis developer yang lebih besar dibanding chain mandirinya sendiri. Saldo yang sah, termasuk posisi yang terkunci di kontrak staking, akan otomatis dialokasikan ke alamat setara milik pengguna di BNB Chain tanpa perlu proses klaim manual.
Kejadian ini jadi pengingat bahwa keamanan sebuah proyek hanya sekuat software stack yang menopangnya — begitu framework dasar sebuah chain kehilangan maintainer-nya, proyek yang dibangun di atasnya ikut mewarisi risiko itu, mau tidak mau. Bagi BounceBit, perhitungannya bermuara pada biaya: membangun ulang sistem otorisasi khusus di atas infrastruktur mati versus migrasi bersih ke chain dengan model keamanan yang masih aktif dipelihara. Ini jadi insiden terbaru dari rentetan kejadian 2026 yang memaksa proyek-proyek berbasis Bitcoin memikirkan ulang asumsi keamanan mereka, menyusul celah pembuatan seed Coldcard yang menguras lebih dari $130 juta dari hardware wallet awal bulan ini.
