Bayangkan sebuah kantor pusat bursa kripto di Dubai, layar monitor berkedip-kedip menampilkan aliran transaksi real-time. Tiba-tiba, satu laporan internal muncul: 200.000 keping Ethereum—senilai $1,5 miliar saat itu—lenyap dari cold wallet yang seharusnya tak tersentuh. Tak ada serangan DDoS, tak ada phishing massal. Yang tersisa hanya jejak alamat dompet di jaringan Ethereum dan pola transaksi yang mirip dengan kelompok peretas 'Lazarus', yang sudah lama dikaitkan dengan Pyongyang.
Siapa Sebenarnya yang Digugat oleh Bybit?
Bybit tidak menggugat individu atau kelompok hacker anonim. Mereka mengajukan gugatan langsung terhadap negara—Korea Utara—di Distrik Selatan New York, Amerika Serikat. Ini adalah salah satu kasus pertama di dunia di mana platform kripto memilih jalur litigasi internasional formal melawan suatu negara, tidak hanya melapor ke otoritas atau mengandalkan sanksi unilateral. Gugatan menyebut Korea Utara sebagai 'pelaku utama' dalam serangan cyber yang dilakukan melalui unit militer khusus bernama Bureau 121, bagian dari Badan Intelijen Militer Korea Utara. Menurut TechInAsia, dokumen pengadilan menyertakan analisis forensik blockchain yang menghubungkan 37 alamat dompet penerima dengan pola transaksi Lazarus selama tiga tahun terakhir.
Pengadilan AS kemudian mengeluarkan perintah pembekuan aset—meski jumlahnya kecil dan bersifat simbolis: dua dompet Ethereum yang teridentifikasi berisi sekitar $4,2 juta dalam bentuk stablecoin USDC dan ETH. Nilai ini jauh di bawah kerugian total, tetapi memiliki makna prosedural penting: pengadilan mengakui bahwa aset digital bisa menjadi objek yurisdiksi, bahkan ketika pemiliknya berada di luar wilayah AS dan di bawah kedaulatan negara lain.
Baca juga: Runable Raup $21 Juta: Saat AI Agent Beralih dari Membangun ke Mengembangkan Bisnis
Apa yang Berubah Setelah Gugatan Ini?
Yang berubah bukan hanya soal uang, tapi soal preseden hukum. Sebelumnya, korban serangan cyber—terutama dari sektor swasta—biasanya mengandalkan intervensi pemerintah, pelaporan ke Interpol, atau kolaborasi dengan lembaga seperti Chainalysis dan TRM Labs untuk melacak aliran dana. Namun Bybit memilih pendekatan berbeda: mereka membangun narasi hukum yang menganggap serangan cyber sebagai bentuk 'perampokan bersenjata' yang bisa dituntut secara perdata. Pendekatan ini menggeser beban pembuktian dari 'membuktikan identitas pelaku' ke 'membuktikan pola operasional dan afiliasi institusional'.
Dilansir TechInAsia, gugatan Bybit juga mencantumkan bukti dokumenter dari laporan PBB tahun 2022 yang menyebut Korea Utara telah menghasilkan lebih dari $2 miliar dari pencurian aset kripto sejak 2017; jumlah yang melebihi pendapatan ekspor batubara negara itu pada periode yang sama.
Di Indonesia, dampaknya tidak langsung—tapi signifikan bagi regulator. Otoritas Jasa Keuangan (OJK) dan Bank Indonesia belum memiliki kerangka hukum spesifik untuk menangani gugatan lintas batas semacam ini. Sementara itu, bursa kripto lokal seperti Indodax dan Tokocrypto masih mengandalkan mitigasi teknis dan pelaporan ke Bareskrim Polri. Belum ada satupun platform domestik yang berani mengambil langkah serupa, baik karena keterbatasan kapasitas hukum maupun risiko reputasi jika gugatan gagal.
Baca juga: Asisten AI yang Ikut Rapat Sales — Apa Artinya untuk Tim Penjualan Indonesia?
Kasus ini juga memperlihatkan celah besar dalam perlindungan aset digital: meskipun cold wallet dirancang aman dari akses daring, kelemahan justru muncul di titik antarmuka manusia—seperti kesalahan konfigurasi atau kebocoran kunci pribadi akibat social engineering. Fakta bahwa Bybit sendiri tidak menyebutkan adanya kebocoran internal dalam gugatannya justru memperkuat dugaan bahwa serangan dilakukan melalui metode 'supply chain compromise', yaitu infiltrasi ke pihak ketiga yang terhubung dengan infrastruktur Bybit—seperti penyedia layanan KYC atau vendor cloud.
Bybit tidak mengandalkan klaim 'keamanan sempurna'. Sebaliknya, mereka menekankan bahwa serangan ini bukan hasil kelalaian operasional biasa, tapi juga operasi intelijen berbiaya tinggi yang melibatkan sumber daya negara. Ini membuat gugatan tidak hanya soal kompensasi, tapi juga upaya mendefinisikan ulang tanggung jawab negara dalam ranah cyber warfare—sebuah isu yang selama ini hanya dibahas di forum PBB atau NATO, bukan di ruang sidang distrik federal.
mirip dengan kasus Sony Pictures tahun 2014. Saat itu, serangan cyber terhadap studio Hollywood juga dikaitkan dengan Korea Utara—dan AS pun merespons dengan sanksi ekonomi, bukan gugatan perdata. Bedanya, Sony adalah korporasi hiburan yang tidak mengelola aset digital bernilai miliaran dolar. Bybit adalah entitas finansial modern yang beroperasi di ruang tanpa batas geografis—dan kali ini, mereka memilih menghadirkan negara penyerang ke meja hijau, bukan hanya ke meja diplomatik.