Bitget piraté : 228 millions de dollars volés en seulement 18 minutes

Le hack de Bitget a finalement touché environ 387,5 millions de dollars d’actifs, contre une première estimation on-chain de 228 millions dollars. La plateforme affirme avoir contenu l’attaque, mais maintient les retraits suspendus pendant ses vérifications de sécurité.

Le hack de Bitget dépasse les premières estimations

Les premières alertes publiées par Arkham et d’autres analystes sur ce piratage signalaient environ 228 millions de dollars transférés en seulement 18 minutes. Ces données portaient surtout sur les mouvements immédiatement identifiables à travers sept réseaux.

Bitget a d’abord annoncé un préjudice de 351,6 millions de dollars. Le 25 septembre, la plateforme a relevé ce montant à 387,5 millions de dollars après avoir intégré des transferts réalisés sur Zcash et Tron. Cette révision ne correspond pas à de nouveaux retraits frauduleux, selon l’entreprise.

Les principaux éléments confirmés montrent l’ampleur de l’incident :

• Les transferts non autorisés ont commencé le 24 septembre ;
• Le montant total atteint désormais environ 387,5 millions de dollars ;
• Les premières analyses avaient suivi sept blockchains, auxquelles se sont ajoutés Zcash et Tron ;
• Les actifs concernés incluent XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX et TRX ;
• Les portefeuilles froids de la plateforme n’auraient pas été touchés.

Le nouveau bilan peut encore évoluer à mesure que les transactions sont classées. Bitget précise toutefois qu’aucun nouveau mouvement non autorisé n’a été enregistré depuis le confinement de l’incident.

Un système interne aurait validé de faux transferts

Selon Gracy Chen, directrice générale de Bitget, le hacker a compromis un composant critique du système chargé de gérer les portefeuilles de l’exchange. Il aurait ensuite falsifié les données des transactions pour déclencher le processus interne d’autorisation.

« Le hacker a compromis un système backend critique et déclenché notre processus d’autorisation pour déplacer les fonds », a déclaré Gracy Chen. L’enquête cherche encore à déterminer comment l’intrusion initiale a été réalisée.

Bitget affirme que les clés privées n’ont pas été compromises. Cette précision suggère que l’attaque ne résulte pas directement du vol d’une clé permettant de signer librement les transactions. Elle aurait plutôt exploité l’infrastructure chargée de préparer et d’approuver les transferts.

La plateforme avait réparti les fonds entre des portefeuilles chauds, tièdes et froids. Ce hack aurait affecté une partie des deux premières catégories, régulièrement connectées aux services de l’exchange. Le produit distinct Bitget Wallet, qui fonctionne en auto-garde sur une autre infrastructure, n’a pas été touché.

Le fonds de protection doit couvrir les pertes

Bitget assure que les soldes affichés sur les comptes restent exacts. Les dépôts et les opérations de trading fonctionnent toujours, mais les retraits demeurent suspendus jusqu’à l’achèvement des contrôles.

La plateforme affirme que son fonds de protection dépasse 464 millions de dollars. Cette réserve excéderait le montant actuellement identifié d’environ 76,5 millions de dollars, soit une marge proche de 20 %. Sa valeur peut toutefois varier, puisqu’une part importante du fonds est détenue en bitcoin.

Cette couverture reste une affirmation de Bitget. Elle signifie que l’entreprise prévoit d’absorber les pertes sans les répercuter sur ses clients, mais le remboursement effectif dépendra du bilan définitif et de la liquidité mobilisable.

Le hacker a déjà converti une partie des actifs issus des réseaux compatibles avec Ethereum. Lookonchain estime que 67982 ETH, valorisés autour de 183 millions de dollars, ont été obtenus après plusieurs échanges. Ces conversions compliquent le gel des jetons, sans rendre leur suivi on-chain impossible.

Bitget lance une prime pour récupérer les actifs

Bitget travaille avec Mandiant, SlowMist, les autorités et plusieurs acteurs de l’écosystème. Certains actifs auraient déjà été gelés avec l’aide de plateformes, d’émetteurs de stablecoins et de projets blockchain.

L’exchange propose une prime équivalente à 5 % des fonds gelés ou récupérés grâce à une intervention volontaire admissible. Il met également à disposition un tableau de suivi des adresses contrôlées par le hacker.

La société doit annoncer le calendrier de reprise des retraits au plus tard le 26 septembre. La vulnérabilité aurait été corrigée, mais les équipes poursuivent leurs tests avant de rouvrir le service.

Gracy Chen attribue provisoirement l’opération à des hackers nord-coréens, sur la base des adresses IP et des méthodes observées. Cette attribution reste celle de Bitget et n’a pas encore été confirmée publiquement par une autorité indépendante.