L'auteur de la faille de sécurité massive de Bitget a commencé à déplacer les fonds volés via Binance, retirant 1,23 million $ de la plateforme et les acheminant vers un portefeuille lié au piratage. La transaction marque une nouvelle phase dans ce qui est devenu l'un des plus grands braquages de cryptomonnaies de 2026, tandis que les enquêteurs s'efforcent de tracer les actifs sur plusieurs réseaux blockchain.

La faille initiale a été détectée le 24 septembre à 18h31 UTC et a entraîné des transferts non autorisés totalisant jusqu'à 387,5 millions $ depuis les portefilles chauds et tièdes de Bitget.

Comment les fonds circulent

Le 25 septembre, à peine un jour après le vol initial, l'analyse on-chain a révélé cinq retraits distincts des portefeuilles chauds de Binance, dont environ 88,35 ETH, 89,36 ETH, 79,93 ETH et environ 545 000 $ en USDT. Au 26 septembre, un total de 457,9 ETH avait été transféré vers un portefeuille présumé sous le contrôle de l'attaquant.

Le dernier retrait de 1,23 million $ suit le même schéma : retirer des fonds d'une grande plateforme, puis les consolider dans un portefeuille hors de portée des capacités de gel d'une plateforme unique. Ce schéma est important pour l'effort de récupération, car les plateformes centralisées sont généralement l'endroit où les fonds volés sont les plus exposés à une intervention : les équipes de conformité peuvent signaler et geler les dépôts suspects, alors que les actifs transférés en autogarde sur plusieurs réseaux deviennent bien plus difficiles à intercepter.

Des sociétés d'analyse blockchain, dont Bit, ont tracé les fonds volés circulant sur Ethereum, BNB Chain et TRON — une dispersion qui oblige les enquêteurs à se coordonner sur des réseaux distincts avec des outils différents. Bitget et Binance ont confirmé collaborer au traçage des fonds volés. Les forces de l'ordre ont également été informées, et les sociétés de cybersécurité Mandiant et SlowMist participent toutes deux à l'enquête, une ampleur d'implication externe qui reflète l'ampleur de l'affaire.

À l'intérieur de la faille

L'attaque elle-même était inhabituellement sophistiquée. Plutôt que de voler des clés privées ou de compromettre le stockage à froid, l'attaquant a compromis le système backend de Bitget d'une manière lui permettant de falsifier les données de transaction, trompant le système pour qu'il autorise des transferts qui semblaient légitimes en interne tout en acheminant les fonds vers l'attaquant.

Les premières estimations chiffraient les dommages à 351,6 millions $, un montant ensuite révisé à la hausse à 387,5 millions $ à mesure que les enquêteurs identifiaient des transferts non autorisés supplémentaires. Bitget a suspendu les retraits peu après la détection de la faille et s'est engagé à couvrir les pertes des clients via son User Protection Fund, qui détient plus de 464 millions $ — une réserve supérieure au total des pertes révisé.

Spéculations sur la Corée du Nord et répercussions dans le secteur

Les schémas d'adresses IP identifiés lors de l'enquête ont conduit certains analystes à spéculer que des acteurs liés à la Corée du Nord pourraient être à l'origine de la faille. Cette attribution n'a pas été confirmée par les autorités, mais elle correspondrait à un schéma bien documenté. Les groupes de pirates nord-coréens, en le Lazarus Group, ont été liés à des milliards de dollars de vols de cryptomonnaies au cours des dernières années, utilisant souvent des techniques de blanchiment multichaînes tout aussi sophistiquées. Le précédent le plus proche en ampleur est le vol d'environ 1,5 milliard $ chez Bybit en février 2025, attribué par les enquêteurs à des pirates liés à la Corée du Nord. Le fait que les autorités confirment ou écartent cette attribution, et que davantage de fonds puissent être interceptés sur des plateformes centralisées avant d'atteindre l'autogarde, sont les questions ouvertes les plus susceptibles de façonner l'affaire dans les jours à venir.