Bitget révise sa perte à 387,5 M$ après un nouveau décompte

Bitget a détecté des transferts non autorisés à 18 h 31 UTC le 24 septembre, et chiffre désormais la perte à 387,5 millions de dollars, contre 351,6 millions annoncés la veille. La plateforme affirme que ses portefeuilles froids n’ont pas été touchés et que le vol ne provient pas d’une clé privée compromise, mais d’un système de retrait falsifié. Les retraits restent suspendus le temps de la revue de sécurité, tandis que dépôts et trading continuent normalement.

Pour résumer

• 387,5 M$ sortis des hot et warm wallets de Bitget le 24 septembre, cold wallets intacts
• Le fonds de protection utilisateurs (464 M$, 5 500 BTC) couvre l’intégralité de la perte
• Circle et Tether ont gelé 318 000 $ du butin, une fraction du total dérobé

L’attaque a visé le système de retrait interne

Bitget a confirmé l’incident dans un avis de sécurité publié sur son centre d’assistance. L’attaquant a compromis un système interne de la couche portefeuille, puis a falsifié des données de transfert pour déclencher le processus d’autorisation. Aucune clé privée n’a été compromise, précise l’exchange, ce qui limite la surface de l’attaque aux systèmes de retrait plutôt qu’au coffre-fort lui-même.

Ce mode opératoire, une compromission de système interne plutôt qu’une fuite de clé, rappelle l’attaque qui avait forcé Crypto.com à couper sa propre blockchain après un vol de 75 M$ début septembre.

La plateforme répartit ses réserves sur trois niveaux : hot wallets connectés en permanence, warm wallets à accès intermédiaire, et cold wallets hors ligne. Seuls les deux premiers ont été touchés. Les cold wallets, qui concentrent l’essentiel des avoirs de la plateforme, restent intacts selon Bitget.

Le décompte a bougé deux fois en vingt-quatre heures. Les premières estimations on-chain tournaient autour de 183 millions de dollars, l’exchange a ensuite communiqué 351,6 millions, puis a porté le total à 387,5 millions le 25 septembre après avoir identifié des actifs supplémentaires sur les réseaux Zcash et TRON. Le butin se répartit sur plus de cinq blockchains, ce qui explique pourquoi le chiffre a mis du temps à se stabiliser.

Les actifs dérobés incluent environ 103 millions de XRP, soit près de 157 millions de dollars, et quelque 183 millions de dollars en stablecoins, le reste étant composé d’ETH et d’autres jetons. Le montant confirmé fait de cet incident le plus gros vol subi par une plateforme centralisée depuis le début de l’année. Il dépasse les 319 M$ de bitcoins dérobés sur la sidechain Liquid de Blockstream début septembre, un épisode qui avait déjà secoué la confiance dans les infrastructures de garde partagées.

Bitget mobilise son fonds de protection, les retraits restent gelés

Bitget affirme couvrir l’intégralité du montant via son User Protection Fund, qui détient plus de 464 millions de dollars, soit environ 5 500 BTC. Gracy Chen assure que les soldes des comptes clients restent exacts et que les fonds des utilisateurs sont protégés.

La dirigeante a détaillé le mécanisme dans une mise au point publiée sur son compte le lendemain de l’incident : la falsification a porté sur les données internes de transfert de la plateforme. Les demandes de retrait des utilisateurs et les clés privées sont restées hors d’atteinte.

Les retraits demeurent suspendus par précaution le temps que l’équipe de sécurité termine sa revue. Les dépôts et le trading continuent de fonctionner normalement, ce qui distingue cet incident d’un arrêt complet de la plateforme.

La plateforme a fait appel à deux prestataires externes, Mandiant et SlowMist, pour mener l’enquête technique. Un rapport détaillé, incluant l’analyse de la cause racine et les mesures correctives, doit être publié dans les 24 heures suivant l’incident.

Ce n’est pas la première fois qu’un exchange doit gérer une crise de confiance après un incident : l’exchange polonais Zondacrypto a vu un cinquième suspect placé en détention provisoire dans son propre dossier de fraude, un rappel que les procédures judiciaires liées aux plateformes crypto s’étirent souvent sur plusieurs mois.

À voir également sur Cryptonomic :

• Le CME lance des futures Uniswap le 19 octobre
• 15,9 Md$ d’options Bitcoin expirent vendredi
• Bitcoin tient 86 400 $ grâce aux ETF et au pétrole

Le gel des émetteurs de stablecoins s’arrête à 318 000 $

Circle a gelé 99 990 USDC à 05 h 00 UTC vendredi sur une adresse étiquetée « Bitget Exploiter 8 » par Etherscan. Tether a suivi environ sept heures plus tard, avec 218 023 USDT immobilisés par une transaction multisignature. Les deux gels portent sur un total d’environ 318 000 dollars, à comparer aux 387,5 millions sortis de la plateforme.

L’écart tient à une limite technique simple. Un émetteur de stablecoin peut geler des jetons sur son propre contrat, parce qu’il en garde le contrôle administratif. L’ether, lui, se règle au niveau du protocole Ethereum, où aucune autorité ne peut immobiliser un solde. La même adresse gelée conservait environ 170 ETH que personne n’a pu bloquer.

Le reste du butin a déjà pris cette direction. Plus de 63 000 ETH dorment sur d’autres adresses liées à l’attaque, hors de portée de toute intervention d’émetteur. La conversion d’actifs gelables vers de l’ether est devenue le réflexe standard après une brèche, précisément parce qu’elle ferme la porte aux listes noires.

La récupération reste possible par d’autres voies, plus lentes. Début septembre, Blockstream a récupéré 3 400 des 4 000 bitcoins volés sur sa sidechain en négociant directement avec l’auteur de l’exploit. Rien n’indique pour l’instant qu’une démarche de ce type soit engagée ici, et Bitget n’a annoncé aucune action en justice.

Affaire à suivre sur Cryptonomic.