La plateforme d’échange de cryptomonnaies Bitget a subi, l’une des intrusions les plus coûteuses de l’année dans le secteur des actifs numériques. Le montant dérobé, d’abord estimé à 351,6 millions de dollars, a été relevé à environ 387,5 millions par l’entreprise, puis à 390 millions de dollars selon les derniers décomptes de traçage on-chain. L’exchange et plusieurs sociétés d’analyse de la blockchain évoquent une opération conduite par des acteurs liés à la Corée du Nord, une attribution qu’aucune autorité publique n’avait confirmée à la date de publication des principales sources.
Des transferts non autorisés détectés en soirée
Selon Bitget, ses systèmes de sécurité ont repéré à 18h31 UTC, le 24 septembre, des mouvements de fonds non autorisés impliquant un nombre limité de portefeuilles chauds, c’est-à-dire des portefeuilles connectés à internet qui servent aux opérations courantes. L’entreprise précise que ses portefeuilles froids, hors ligne, et l’essentiel des actifs de la plateforme n’ont pas été touchés. Les soldes des comptes clients restent exacts, et les dépôts comme le trading ont continué de fonctionner, alors que les retraits ont été suspendus par précaution le temps d’un examen de sécurité approfondi. Bitget Wallet, la solution de portefeuille autonome du groupe, repose sur une infrastructure distincte de celle de la plateforme d’échange et n’a pas été affectée, a indiqué la société. Elle a fait appel à Mandiant, filiale de Google, et à SlowMist pour mener une enquête indépendante.
Un préjudice revu à la hausse sur plusieurs blockchains
La directrice générale, Gracy Chen, a détaillé les actifs concernés : ETH, XRP, BNB, AVAX, USDT et USDC, répartis sur les réseaux Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base. Le bilan a ensuite été révisé après l’identification de soldes complémentaires en Zcash et en TRON, ce qui a porté l’estimation à environ 387,5 millions de dollars, avant un nouveau décompte à 390,06 millions de dollars fondé sur le traçage des transactions. D’après le suivi de Lookonchain, la ponction comprend plus de 102 millions de XRP, soit environ 157 millions de dollars, et près de 31 900 ETH, pour une valeur proche de 86 millions de dollars, auxquels s’ajoutent des stablecoins et d’autres jetons. L’attaquant aurait déjà converti l’essentiel des actifs compatibles avec la machine virtuelle d’Ethereum en quelque 68 000 ETH.
Un système interne compromis pour simuler des ordres légitimes
Bitget n’a pas communiqué le détail technique de l’intrusion, mais sa dirigeante en décrit le principe : l’attaquant a pris le contrôle d’un système critique situé en arrière-plan de l’infrastructure de portefeuilles, falsifié des données de transaction et déclenché ainsi le processus d’autorisation interne qui a libéré les fonds. L’entreprise écarte un vol de clés privées et ne retient pas l’hypothèse d’une complicité interne. La méthode précise d’intrusion fait toujours l’objet de l’enquête.
La piste nord-coréenne s’appuie sur des recoupements on-chain
Gracy Chen affirme que les comportements d’adresses IP et l’analyse on-chain correspondent aux méthodes de groupes nord-coréens connus. Plusieurs acteurs spécialisés vont dans le même sens. Elliptic a observé des liens entre des XRP issus de l’attaque et des ETH provenant d’un précédent vol attribué à Pyongyang, ainsi que des connexions avec des adresses utilisées pour blanchir des fonds du piratage de Bybit en 2025. Le cabinet relève que le partage d’infrastructures de blanchiment d’un incident à l’autre est une constante de ces opérations, les responsables privilégiant la rapidité à la discipline opérationnelle. TRM Labs signale de son côté plusieurs recoupements avec des portefeuilles employés pour le blanchiment d’attaques antérieures, dont celles de Bybit et du pont AFX, des éléments qui orientent vers le groupe TraderTraitor. Ce collectif est connu pour le vol d’environ 1,5 milliard de dollars chez Bybit et de 292 millions de dollars sur le pont LayerZero de KelpDAO. Une semaine avant l’incident chez Bitget, SentinelOne l’avait par ailleurs relié à une attaque visant une société de services informatiques basée en Inde. Aucune autorité gouvernementale n’a confirmé l’attribution, et la Corée du Nord rejette régulièrement ces accusations. Si la responsabilité nord-coréenne était établie, 2026 deviendrait, selon les chiffres rapportés par The Hacker News, la deuxième année la plus lourde pour ce type de vols, avec environ 1,04 milliard de dollars, derrière les 1,68 milliard de 2025. Ari Redbord, responsable mondial des politiques chez TRM Labs, plaide pour un durcissement des contrôles de cybersécurité dans l’ensemble du secteur et pour des actions offensives mobilisant tous les leviers de sécurité nationale.
Gel de fonds, récompense de récupération et fonds de protection
Gracy Chen indique avoir contacté les fondations des chaînes concernées, dont certaines ont confirmé le gel d’adresses du pirate. Les effets restent pour l’instant modestes : selon le tableau de suivi publié par CoinDesk, Circle et Tether ont immobilisé des stablecoins pour environ 339 000 dollars liés à l’attaque, soit une fraction infime du butin. Bitget a lancé un programme de récompense destiné à mobiliser plateformes, projets blockchain, chercheurs en sécurité et enquêteurs, avec une rémunération pouvant atteindre 5 % pour le gel de fonds volés et pour leur restitution. Bitget affirme que le préjudice est couvert par son fonds de protection des utilisateurs, valorisé à plus de 464 millions de dollars, soit 5 500 bitcoins, ce qui signifie que sa contre-valeur en dollars varie avec le cours du bitcoin. La vulnérabilité exploitée a été identifiée et corrigée, a précisé l’entreprise, qui assure qu’aucun autre transfert non autorisé n’est possible.
Une reprise des retraits échelonnée
Les retraits ont rouvert par étapes à partir du 28 septembre à 8h00 UTC. Les retraits en bitcoin ont repris en premier, suivis de l’ETH sur Ethereum, BSC, Arbitrum, Base et Optimism le 29 septembre, de l’USDT sur Ethereum, BSC, Solana et Tron le 30 septembre, puis des autres jetons, des monnaies fiat et des actifs échangés de pair à pair à partir du 2 octobre, selon le calendrier communiqué par Bitget.
