Piratages crypto : 766 millions de dollars volés en septembre

Les piratages crypto ont déclenché plus de 766 millions de dollars de pertes au cours du mois de septembre, d’après les premières estimations de PeckShield et Certik. Il s’agit du bilan le plus lourd de l’année. Cependant, il a été révisé à 772,4 millions de dollars par Certik, avec Bitget et Liquid Network ayant subi l’essentiel des dommages.

Deux piratages crypto concentrent 92 % des pertes

Cinquante-cinq incidents majeurs ont été recensés par PeckShield pour un montant initial de 766,49 millions de dollars. CertiK, dont la méthodologie rassemble davantage d’événements, en comptait environ une centaine et évaluait les pertes à près de 768 millions de dollars.

Désormais, ce total est porté à 772,4 millions de dollars sur le tableau de bord de CertiK. Cette révision explique la difficulté d’établir directement un bilan définitif, notamment lorsque de nouvelles adresses ou victimes sont identifiées. Les chiffres essentiels permettent de mesurer la concentration des pertes :

• Bitget représente 387,5 millions de dollars de fonds affectés ;
• Liquid Network totalise 318,7 millions de dollars ;
• Ces deux incidents concentrent près de 92 % du bilan initial ;
• Les 53 autres attaques suivies par PeckShield représentent environ 59 millions de dollars ;
• CertiK classe 739,5 millions de dollars parmi les pertes liées à des exploits.

Les pertes de septembre resteraient donc inférieures à la moitié des 136,3 millions de dollars recensés par PeckShield en août, sans le bilan de Bitget et Liquid Network. Ce record mensuel n’indique pas une explosion uniforme des attaques.

Le piratage de Bitget coûte près de 388 millions de dollars

Bitget a détecté des transferts non autorisés le 24 septembre. L’incident a touché plusieurs portefeuilles sur Ethereum, d’autres réseaux compatibles EVM, XRP Ledger, Zcash et Tron.

L’exchange avait d’abord évalué les fonds concernés à 351,6 millions de dollars. Il a ensuite relevé cette estimation à 387,5 millions après avoir intégré de nouvelles transactions. Ses portefeuilles froids et ses clés privées n’auraient pas été compromis.

Selon Bitget, les hackers ont exploité une faille dans un produit de sécurité tiers pour obtenir des identifiants d’accès internes. Ils auraient ensuite falsifié des commandes de retrait afin de contourner les contrôles du système.

La plateforme affirme que son fonds de protection, doté de plus de 464 millions de dollars, couvrira entièrement les pertes. « Nous ne fuirons pas cette situation, et chaque dollar sera comptabilisé », a déclaré sa directrice générale, Gracy Chen. Cette couverture reste néanmoins un engagement de l’entreprise, dont l’exécution devra être suivie.

Liquid révèle une faille au cœur du protocole Bitcoin

L’incident de Liquid Network s’est produit le 6 septembre. Une vulnérabilité dans Elements, le logiciel sur lequel repose cette sidechain de Bitcoin, a permis de créer environ 3 998,5 L-BTC sans bitcoins correspondants en garantie.

La faille concernait le système chargé de vérifier les transactions crypto confidentielles. Ainsi, le hacker a préparé plusieurs opérations afin de tromper le cache de validation, puis utilisé une transaction malveillante pour émettre des L-BTC non autorisés. Les actifs ont ensuite été convertis en bitcoins natifs par le mécanisme de sortie du réseau.

La valeur concernée atteignait environ 318,7 millions de dollars au moment de l’attaque. L’auteur s’est présenté comme un chercheur en sécurité et a promis de restituer les fonds après la correction des nœuds. Cette qualification de « white hat » a toutefois provoqué des doutes, car aucun audit autorisé ne prévoyait le retrait de plusieurs milliers de bitcoins.

PeckShield estime qu’environ 285 millions de dollars ont finalement été rendus. Le montant brut de l’incident reste néanmoins comptabilisé dans les pertes mensuelles, avant déduction des fonds récupérés.

Les piratages crypto pèsent sur tout le troisième trimestre

Derrière Bitget et Liquid, CertiK recense plusieurs incidents plus limités. Des utilisateurs de Safe Wallet ont perdu environ 7,8 millions de dollars. D’CENT et Duelbits ont chacun subi près de 6 millions de dollars de dommages, tandis que NEAR Intents a signalé une perte proche de 3,9 millions.

Le troisième trimestre totalise ainsi 1,27 milliard de dollars de pertes, contre 819,4 millions au trimestre précédent. La hausse atteint 54,4 %. Après prise en compte des sommes gelées ou restituées, CertiK ramène toutefois les pertes ajustées du trimestre à environ 869,6 millions de dollars.

Les exploits techniques représentent 95,7 % des dommages de septembre. Les compromissions de clés privées, de portefeuilles et les campagnes de phishing restent nombreuses, mais leur poids financier apparaît secondaire face aux deux principales attaques.

Le bilan définitif peut encore évoluer au rythme des récupérations et des nouvelles victimes identifiées. Septembre montre surtout qu’une seule défaillance dans une infrastructure centrale peut peser davantage que plusieurs dizaines d’attaques réunies.