Bitget a confirmé que des attaquants avaient dérobé 387,5 millions de dollars dans les portefeuilles de sa plateforme d’échange le 24 septembre. Les retraits restent suspendus, tandis que l’entreprise affirme que son fonds de protection couvre les pertes.
Mandiant et SlowMist enquêtent. La PDG Gracy Chen soupçonne une implication de la Corée du Nord, bien que le vecteur d’intrusion initial n’ait pas été divulgué.
Alors, comment le piratage a-t-il pu se produire ? BeInCrypto a établi une chronologie à partir des informations accessibles au public.
24 septembre, 18 h 31 UTC : Bitget détecte des transferts non autorisés
Bitget indique que ses systèmes de sécurité ont détecté les transferts à 18 h 31 UTC et déclenché des procédures d’urgence en quelques minutes.
La faille a touché une partie de ses portefeuilles à chaud et tièdes, qui soutiennent les opérations de la plateforme d’échange. Selon l’entreprise, ses portefeuilles hors ligne, dits à froid, sont restés sécurisés. L’heure de détection ne permet pas de déterminer quand les attaquants ont obtenu leur premier accès.
19 h 57–21 h 06 UTC : des transactions inhabituelles donnent l’alerte
À 19 h 57, l’analyste DCF GOD a signalé un nouveau portefeuille qui avait dépensé 19,67 millions de dollars en USDT0 pour acheter 7 111 ETH en six minutes. Il aurait payé jusqu’à 5 % au-dessus des cours du marché.
Ce comportement laissait penser que quelqu’un privilégiait le déplacement rapide des fonds. Le motif restait toutefois incertain.
À 21 h 06, Bubblemaps a signalé qu’environ 180 millions de dollars avaient été transférés des portefeuilles de Bitget vers une adresse de réception commune, puis répartis entre plusieurs portefeuilles.
21:30 UTC : Chen confirme la faille
L’avis de sécurité de Chen estimait la perte initiale à 351,6 millions de dollars et confirmait la suspension des retraits.
L’avis a été publié presque trois heures après l’heure de détection annoncée par Bitget. Ce délai soulève des questions sur sa réaction, mais ne prouve pas que des fonds ont continué à être transférés pendant toute cette période.
25 septembre, 00:43 UTC : la méthode présumée se précise
Chen a déclaré que les attaquants avaient compromis un système backend essentiel, c’est-à-dire un logiciel qui gère en arrière-plan les opérations des portefeuilles.
Ils ont fourni de fausses données de transaction et déclenché le processus d’autorisation de Bitget. En termes simples, le système de la plateforme a lui-même approuvé des transferts frauduleux.
Chen a indiqué que le vol de clés privées avait été écarté. La manière dont les attaquants ont accédé au backend et les contrôles qui ont échoué nécessitent encore des explications publiques détaillées.
14:03 UTC : les pertes atteignent 387,5 millions de dollars
Bitget a révisé son estimation après avoir pris en compte les actifs Zcash et TRON concernés. La plateforme a indiqué que cette hausse reflétait une comptabilisation plus complète du vol initial.
L’entreprise affirme que la vulnérabilité a été corrigée. Elle a promis d’annoncer un plan de retrait d’ici le 26 septembre à 04:00 UTC, sans s’engager à reprendre les retraits à cette date.
Pourquoi les enquêteurs soupçonnent une implication nord-coréenne
Chen a cité des comportements liés aux adresses IP et une activité sur la blockchain compatibles avec ceux de groupes nord-coréens. Plusieurs caractéristiques rappellent le vol de Bybit de février 2025, que le FBI a attribué à la Corée du Nord.
- Approbations manipulées : Bitget décrit de fausses instructions parvenues à son système d’autorisation. Chez Bybit, une interface compromise a trompé les signataires pour leur faire approuver une transaction malveillante. Les mécanismes diffèrent, mais les deux attaques ont exploité le processus d’approbation.
- Conversion rapide des actifs : Les fonds liés à Bitget ont rapidement servi à acheter de l’ETH. Le FBI a documenté la conversion rapide des actifs volés à Bybit en d’autres cryptomonnaies.
- Répartition des fonds entre plusieurs portefeuilles : Bubblemaps a identifié plusieurs portefeuilles destinataires. Selon le FBI, le produit du vol de Bybit a été réparti entre des milliers d’adresses.
- Recours à THORChain : MistTrack a signalé que des fonds issus de Bitget avaient été transférés vers le protocole et a relevé que celui-ci avait déjà servi à déplacer des fonds volés à Bybit.
Ces parallèles justifient des investigations plus poussées. Ils ne permettent pas, à eux seuls, d’identifier les auteurs de l’attaque contre Bitget.
Source : BeInCrypto
