Bitget va cesser ses services pour une partie de ses utilisateurs dans le cadre d'une mesure ponctuelle, a annoncé samedi l'exchange dans une publication sur X.

La société, dont le siège est situé aux Seychelles, a indiqué que sa plateforme continuerait de fonctionner normalement et a assuré aux utilisateurs concernés que leurs fonds restent en sécurité, tout en les orientant vers une ressource en ligne pour vérifier leurs actifs.

Selon l'exchange, les utilisateurs concernés par ces changements recevront des communications directes par e-mail, messages in-app et/ou notifications push expliquant les prochaines étapes, les délais pertinents et les modalités de retrait de leurs fonds. Pour les personnes touchées, les délais et modalités de retrait indiqués dans ces messages constituent les informations essentielles à surveiller, car ils déterminent comment et quand les fonds pourront être retirés de la plateforme.

Cette annonce intervient quelques semaines seulement après un piratage de 387,5 millions de dollars qui figure parmi les plus grandes failles de sécurité de l'histoire des exchanges centralisés. Elle survient également alors que la plateforme fait face à une pression croissante pour se conformer à des exigences réglementaires plus strictes à travers le monde, dans un contexte plus large où les exchanges disposant d'une base d'utilisateurs mondiale ajustent la disponibilité de leurs services pour certains groupes d'utilisateurs à mesure que la supervision se durcit.

Le piratage de septembre

Bitget a subi une faille de sécurité de 387,5 millions de dollars le 24 septembre, après que des attaquants ont exploité une faille zero-day — une vulnérabilité jusque-là inconnue pour laquelle aucun correctif n'était disponible — dans des produits de sécurité tiers pour accéder à l'infrastructure de l'exchange. Les pirates ont vidé les portefeuilles hot et warm, les portefeuilles en ligne que les exchanges utilisent pour traiter les retraits quotidiens, sur 11 blockchains, dont Ethereum et le XRP Ledger, dérobant près de 103 millions de XRP.

Selon les rapports, les attaquants ont obtenu un accès initial via des équipements de sécurité fournis par un prestataire externe, avant d'utiliser un accès privilégié pour envoyer des ordres de retrait falsifiés via les systèmes de portefeuille de Bitget — soulignant comment les vulnérabilités de produits tiers peuvent exposer les plateformes crypto à des risques de sécurité plus larges.

En réponse, Bitget a suspendu temporairement les retraits et lancé un Recovery Bounty Program le 25 septembre, offrant 5 % des fonds directement gelés ou récupérés, une incitation conçue pour mobiliser des enquêteurs externes et des acteurs du secteur dans le traçage des actifs volés. L'exchange s'est également engagé à indemniser les utilisateurs via son User Protection Fund, une réserve destinée à couvrir les pertes des utilisateurs, qui détenait plus de 464 millions de dollars avant l'incident.

Les services de retrait ont repris progressivement à partir du 28 septembre et ont été entièrement rétablis le 2 octobre. Malgré ces mesures, seulement environ 840 000 dollars — soit 0,2 % des actifs volés — avaient été publiquement gelés au 29 septembre. De futures mises à jour publiques sur les fonds gelés ou récupérés donneraient l'indication la plus claire de l'avancement du Recovery Bounty Program depuis cette divulgation.

Parallèlement, le jeton BGB de l'exchange a chuté de 5,5 % depuis l'incident, passant de plus de 2 dollars à 1,89 dollar, selon les données de CoinMarketCap.