Bitget confirme un piratage de 351,6 millions de dollars de ses hot wallets et suspend les retraits

Bitget a suspendu les retraits des clients jeudi soir après avoir confirmé que des attaquants avaient drainé environ 351,6 millions de dollars de ses hot wallets. La directrice générale Gracy Chen a publié l'annonce à 21h30 UTC. « À 18h31 UTC le 24 septembre 2026, les systèmes de sécurité de Bitget ont détecté des transferts non autorisés depuis certains de nos hot wallets », a-t-elle écrit. « Notre équipe de sécurité a immédiatement activé les protocoles d'intervention d'urgence. »

Les registres on-chain corroborent l'horodatage de 18h31. Ils montrent aussi, minute par minute, tout ce qui s'est passé ensuite.

Trois heures entre la détection et le confinement

À 18h31:11 UTC, un wallet étiqueté « Bitget 6 » sur Etherscan, Arbiscan et BscScan a envoyé 0,84 ether vers une adresse créée le jour même — le petit transfert de test qui précède généralement une exfiltration massive, et le premier mouvement on-chain de la brèche. Il est survenu à la minute même où Bitget dit avoir signalé l'intrusion.

Les sorties principales ont suivi rapidement. À 18h58:59, le même wallet a envoyé 34 751 168 USDT. À 19h01:20, sur Arbitrum, il a envoyé 19 668 851 USDT0. À 19h01:23, il a déplacé 12 852 046 USDC, et à 19h01:35, 7 130,86 ether. Un second wallet, étiqueté « Bitget 35 », a ajouté 15 362 ether en trois transferts. 223,2 ether supplémentaires sont partis à 21h23:11 — soit deux heures et 52 minutes après l'horodatage de détection mentionné dans l'annonce de Bitget elle-même, et sept minutes avant sa publication.

Au total, 133,4 millions de dollars ont quitté les wallets estampillés Bitget sur Ethereum et Arbitrum seuls, auxquels s'ajoutent 3 000 tokens Tether Gold d'une valeur de 12,8 millions de dollars depuis une troisième adresse. Le reste des 351,6 millions de dollars a transité par d'autres chaînes.

Rien de tout cela n'indique une réponse lente au sens conventionnel. Les hot wallets sont les soldes connectés à internet qu'une plateforme maintient en ligne pour traiter les retraits ; le stockage à froid reste hors ligne. Une plateforme exploite des hot wallets sur une douzaine de réseaux, et fermer chacun sans bloquer les retraits des clients ne se fait pas d'un simple geste. Chen a affirmé que le stockage à froid n'avait jamais été touch. Néanmoins, l'écart entre la détection et le confinement se mesure ici en heures — et c'est là que l'argent est parti.

L'attaquant a converti tout ce qui pouvait être gelé

Le choix des actifs trahit une planification délibérée. Tether peut geler l'USDT. Circle peut geler l'USDC. Tether peut geler son token adossé à l'or. L'ether ne peut être gelé par personne.

En moins de six minutes après leur réception, l'attaquant a poussé les trois tokens vers 0x7c96279E, un contrat routeur qui les a dispersés dans les pools Uniswap V3 et le PoolManager d'Uniswap V4 avant de retourner de l'ether. DCF GOD, un analyste pseudonyme comptant 105 000 abonnés qui a signalé la jambe Arbitrum avant toute communication publique de Bitget, a noté que l'acheteur « payait jusqu'à +5 % au-dessus du prix du marché » et a poussé un pool à 2 870 dollars contre un prix spot proche de 2 688 dollars. « ce qui n'a aucun sens si quelqu'un essayait simplement d'acheter de l'eth », a-t-il écrit. Cela a du sens si le vendeur fait la course à la fonction de gel d'un émetteur.

Ce qui reste est de l'ether, placé dans trois wallets n'ayant jamais transacté auparavant : 10 000 ETH à 20h13, 10 000 à 20h19, et 4 590 de plus à 21h41:11. Cette dernière tranche a bougé dix minutes après la publication de l'annonce de Chen, et une minute après que le compte officiel de Bitget a indiqué aux clients avoir « identifié et signalé les adresses de transfert concernées ».

Ce que dit Bitget

« Les fonds des utilisateurs sont en sécurité », a écrit Chen. « L'intégralité de cette perte entre dans le cadre de la couverture du Fonds de Protection des Utilisateurs de Bitget, qui détient actuellement plus de 464 millions de dollars. » Elle a décrit une architecture de wallets à trois niveaux dans laquelle « la brèche n'a touché qu'une partie des couches hot wallet et warm wallet », indiqué que les dépôts et le trading fonctionnaient normalement, et promis un rapport d'incident complet sous 24 heures. « Nous ne spéculerons pas sur le vecteur d'attaque tant que l'enquête n'est pas terminée. »

Ce dernier engagement a du poids pour tous les autres opérateurs de plateformes. Les brèches de ce type impliquent rarement de casser la cryptographie. « Ce sont des piratages off-chain qui ont entraîné une perte de fonds on-chain », a déclaré Ido Sofer, fondateur et PDG de la société de gestion de clés Sodot, dans le podcast On The Margin, décrivant le schéma du vol chez Bybit et de ses successeurs. « Des identifiants de développeurs, des clés de déploiement, des clés API volées. Et cela a donné accès au déplacement de fonds on-chain. » Sa version plus brutale : « Il y aura des piratages. La question est de savoir si ce sera dans votre entreprise ou non. »

Un fonds de 464 millions de dollars face à une perte de 351,6 millions de dollars constitue un coussin mince mais réel. Bitget a publié des attestations de preuve de réserves — des instantanés périodiques des avoirs destinés à démontrer que les actifs des clients sont intégralement adossés — pendant 45 mois consécutifs, faisant état d'un ratio de réserve de 122 % pour le mois d'août. Le véritable test de tout cela est la réouverture des retraits.

Une deuxième arnaque est déjà en cours

Un avertissement pour quiconque suit ces adresses : en quelques heures, des tokens falsifiés ont commencé à imiter les transferts de l'attaquant. De faux contrats nommés « ETH », « USDC » et « USDT » — certains orthographiés avec des caractères Unicode invisibles — diffusaient les mêmes montants vers des adresses semblables qui ne diffèrent des vraies que par leur partie centrale. Quatorze avaient fait leur apparition sur ce seul wallet avant 22h00. Quiconque copie une adresse depuis un explorateur de blocs en ce moment risque d'en récupérer une piégée.

L'incident constitue la plus grande perte pour une plateforme depuis la brèche de Bybit, qui avait drainé environ 1,5 milliard de dollars en février 2025 dans une attaque largement attribuée au groupe Lazarus, lié à la Corée du Nord. Elle fait suite au vol de 130 millions de dollars chez Coldcard qui a relancé le débat sur qui devrait détenir les clés du bitcoin, et à la frénésie de novembre à 137 millions de dollars qui a reconstruit la couche de rendement de la DeFi. Comme pour les wallets récemment créés qui avaient gagné 1,2 million de dollars sur Polymarket avant les frappes aériennes contre l'Iran, la chaîne a tout enregistré publiquement pendant que chacun débattait de sa signification.

« Bitget a traversé plusieurs cycles de marché. Nous ne fuirons pas cette épreuve », a écrit Chen. Le rapport d'incident est attendu d'ici un jour, et 24 590 ether dorment dans trois wallets, prêts à bouger.