Bitget vient de perdre 350 millions de dollars

Le huitième anniversaire de Bitget s'est soldé par un butin de près de 350 millions de dollars pour des pirates informatiques. Un joli pactole pour une seule nuit de travail.

Les premiers signes de problème sont apparus tard dans la soirée du 24 septembre, lorsque des portefeuilles identifiés comme appartenant à Bitget ont commencé à subir des sorties de fonds sur plusieurs blockchains. L'analyste Emmett Gallic d'Arkham a été le premier à le remarquer, signalant ces mouvements de fonds plus d'une heure avant que Bitget ne prenne la parole publiquement. Au moment où la PDG, Gracy Chen, a confirmé l'incident sur X, environ 183 millions de dollars avaient déjà été transférés. Le montant final s'est avéré plus élevé : environ 351,6 millions de dollars.

« Le 24 septembre 2026 à 18h31 UTC, les systèmes de sécurité de Bitget ont détecté des transferts non autorisés provenant de certains de nos portefeuilles en ligne », a écrit Chen.

Selon elle, les chambres froides n'ont jamais été touchées ; la brèche s'est limitée aux couches chaudes et tièdes des portefeuilles, et les retraits ont été gelés pendant que l'équipe s'efforçait de la contenir.

Pas de clés volées, juste une contrefaçon très convaincante.

Voici ce qui devrait inquiéter toutes les plateformes d'échange utilisant une infrastructure similaire : les attaquants n'avaient absolument pas besoin des clés privées de Bitget. Chen a expliqué par la suite que des pirates informatiques avaient compromis un système dorsal lié à l'infrastructure de portefeuilles de Bitget, l'avaient utilisé pour falsifier des données de transfert, puis avaient exploité ces fausses données pour valider des transactions qu'ils n'auraient jamais dû autoriser. Le système a approuvé des transactions qu'il n'aurait jamais dû voir. « L'hypothèse d'une compromission des clés privées a été écartée », a déclaré Chen, ce qui, selon le point de vue, est soit rassurant, soit beaucoup plus inquiétant. La perte de clés est un problème connu. Mais se faire tromper par son propre processus de signature pour approuver une fraude, c'est une autre histoire.

D'après les premières estimations diffusées en même temps que les mises à jour de Chen, environ 40% des actifs volés étaient des XRP, le reste étant réparti entre ETH, BNB, AVAX, USDT et USDC. Certaines fondations de blockchain auraient commencé à geler les adresses liées aux pirates quelques heures après le vol, mais l'ampleur des fonds récupérés reste à déterminer.

La fuite fut rapide et coûteuse.

Celui qui a fait ça n'a visiblement pas cherché la prudence. Une adresse nouvellement créée a échangé 19,67 millions d'USDT0 contre 7 111 ETH en six minutes chrono, via UniswapX et 1inch Fusion, et en payant jusqu'à 5% de plus que le taux du marché. Ce n'est pas comme ça qu'on trade quand on se soucie du prix. C'est plutôt comme ça qu'on trade quand on craint le blocage de ses fonds.

Le schéma de blanchiment — les fonds étant regroupés dans une seule adresse, puis transférés via une chaîne de portefeuilles — est le même mode opératoire que les chercheurs en sécurité attribuent depuis des années aux opérateurs liés à la Corée du Nord.

Lazare, encore

Chen a pointé du doigt la Corée du Nord, affirmant que les enquêteurs avaient trouvé des adresses IP correspondant à une infrastructure VPN liée à l'appareil de piratage du pays, et que l'attaque « ressemble beaucoup à ce que l'équipe nord-coréenne a fait auparavant ». Le cabinet d'analyse indépendant SpecterAnalyst est allé plus loin, remontant la piste des XRP volés jusqu'au même groupe de portefeuilles utilisé lors du piratage d'AFX en juillet, d'une valeur de 24 millions de dollars – un incident déjà attribué à TraderTraitor, une entité liée à Lazarus. Cette accusation ne convainc pas tout le monde ; certains chercheurs sur X ont émis des réserves, soulignant que le nom « Lazarus » est souvent associé à des incidents qui n'ont peut-être pas d'opérateur commun. Le rapport de Bitget est toujours attendu.

Si cela se confirme, ce ne sera que le dernier épisode d'une longue série. Chainalysis estime les vols de cryptomonnaies liés à la Corée du Nord à plus de 2 milliards de dollars pour la seule année 2025, et ce, avant même que celui-ci ne soit ajouté au décompte de l'année suivante. Le piratage de Bybit en février 2025, d'un montant de 1,5 milliard de dollars – qui reste à ce jour le plus important vol de cryptomonnaies jamais enregistré – présente les mêmes caractéristiques.

Il y a une petite anecdote, presque amusante : le PDG de Bybit, Ben Zhou, a proposé son aide pour retracer les fonds, rappelant que Bitget avait fait de même pour Bybit lorsqu'elle avait été victime d'un vol. Apparemment, les dirigeants des plateformes d'échange de cryptomonnaies ont maintenant une conversation de groupe dédiée à ce genre de situation.

Le fonds censé le couvrir

Bitget assure que ces incidents n'ont aucun impact sur les soldes des utilisateurs. La plateforme dispose d'un Fonds de protection des utilisateurs qui, selon la déclaration de Chen, s'élevait à plus de 464 millions de dollars, soit bien plus que les 351,6 millions de dollars de pertes. Les dépôts et les transactions ont continué de fonctionner normalement ; seuls les retraits ont été suspendus. Chen a précisé que le rétablissement du service prendrait « quelques heures ou quelques jours », et non des semaines.

Il sera intéressant de voir si cette promesse se concrétisera. Un fonds performant sur le papier est différent d'un fonds qui distribue ses gains sans problème en période de panique bancaire, et le cours de BGB a chuté après la révélation de l'affaire avant de se redresser légèrement. Bitget s'est engagé à publier un rapport d'incident complet, incluant une analyse des causes profondes. Ce document, une fois publié, sera bien plus instructif que n'importe quel fil de discussion.