Bitget a rétabli les retraits de Bitcoin après qu'un incident de sécurité a entraîné un arrêt temporaire, les enquêteurs on-chain rapportant qu'un portefeuille lié à l'attaquant a déplacé de l'Ethereum via THORChain, un protocole de liquidité inter-chaînes décentralisé, selon un schéma qu'ils décrivent comme typique des transferts de fonds post-exploitation.

Les retraits reprennent tandis que le traçage se poursuit

La plateforme a annoncé que les retraits de Bitcoin étaient de nouveau opérationnels après une suspension mise en place pendant que ses équipes de sécurité examinaient la violation. Interrompre les retraits pendant un examen actif post-exploitation est une pratique standard des plateformes d'échange : cela donne aux équipes de sécurité le temps d'auditer l'exposition des portefeuilles et de bloquer tout flux non autorisé restant. Pour les déposants, cette disponibilité constitue le test pratique lors d'une réponse à une violation — les fonds détenus sur une plateforme ne peuvent être déplacés à la demande que lorsque les retraits sont opérationnels. Bitget n'a pas indiqué publiquement si la reprise signifie que l'examen de sécurité est entièrement terminé ou si seuls des segments spécifiques de portefeuilles ont été validés.

Les travaux de traçage s'étendent sur plusieurs chaînes. Dans une analyse distincte, il a été établi que 4 BTC issus du piratage de Bitget étaient passés par Wasabi CoinJoin, un protocole de mixing Bitcoin — la preuve, selon les chercheurs, que l'attaquant a superposé des techniques d'obscurcissement sur différentes chaînes simultanément plutôt que de tout acheminer par seul canal. CoinJoin fonctionne en regroupant les transactions de nombreux utilisateurs en une seule transaction collaborative, obscurcissant le lien on-chain direct entre l'origine d'une pièce et sa destination — l'une des raisons pour lesquelles le traçage des pièces mixées repose sur le clustering plutôt que sur un simple suivi d'adresse à adresse.

Ce que les utilisateurs peuvent vérifier eux-mêmes

Au moment de la publication, aucun total indépendamment vérifié des fonds volés, aucune adresse de portefeuille spécifique ni aucun hash de transaction n'avait été confirmé par la plateforme ou par des firmes forensiques on-chain agréées. Comme l'activité blockchain est publique et pseudonyme, toute adresse ultérieurement divulguée peut être suivie en temps réel par n'importe qui. Les utilisateurs souhaitant suivre eux-mêmes les fonds peuvent consulter Mempool.space pour les transactions Bitcoin et Etherscan pour les mouvements côté Ethereum liés à toute adresse d'attaquant divulguée publiquement.

Pourquoi THORChain apparaît dans les flux de fonds

THORChain permet des échanges inter-chaînes natifs sans jetons wrappés ni intermédiaires centralisés, ce qui en fait une étape fréquente pour les mouvements de fonds post-exploitation. Un attaquant détenant de l'Ethereum peut convertir directement en Bitcoin ou en d'autres actifs pris en charge sans point de contrôle KYC, ce qui complique le blacklisting au niveau des plateformes et le traçage de la chaîne de conservation.

La réponse du protocole lui-même à l'incident s'est révélée contestée. THORChain a décliné les demandes de blacklisting des portefeuilles liés au piratage de Bitget, invoquant ses principes de neutralité — une position qui a suscité un commentaire du cofondateur d'Ethereum, Vitalik Buterin, sur les limites de la résistance à la censure lorsqu'il s'agit de fonds volés. Ce refus met en évidence une tension structurelle dans l'infrastructure décentralisée : la conception sans permission qui réduit le risque de contrepartie pour les utilisateurs ordinaires affaiblit également l'efficacité des gels réactifs après une violation.

Les échanges inter-chaînes via des protocoles comme THORChain transforment également un problème de traçage sur une seule chaîne en un problème de coordination multi-chaînes. Le gel ou la récupération des fonds nécessiterait une action simultanée de plusieurs équipes de protocole, aucune n'ayant de relation contractuelle avec la plateforme affectée. C'est pourquoi les enquêteurs surveillent généralement les portefeuilles de destination sur les rampes de sortie centralisées plutôt que de tenter d'interrompre les échanges en cours.

Ce qui reste non confirmé

Plusieurs éléments essentiels restent non vérifiés au moment de la publication : le volume total d'ETH échangé via THORChain, les hashes de transaction ou hauteurs de bloc spécifiques impliqués, l'identité ou l'attribution de l'attaquant, et l'étendue complète des actifs affectés au-delà de la suspension des retraits de Bitcoin. Les chiffres figurant dans des rapports secondaires doivent être considérés comme non confirmés jusqu'à ce que Bitget ou une firme forensique on-chain agréée publie une documentation primaire. À partir de là, les marqueurs observables sont concrets : une communication officielle de Bitget sur lachèvement de l'examen, une documentation primaire quantifiant les flux via THORChain, et toute divulgation publique des adresses de l'attaquant — chacun de ces éléments transformerait un point non vérifié ci-dessus en quelque chose que les lecteurs peuvent vérifier directement on-chain.

Prises ensemble, l'utilisation de THORChain pour les échanges d'ETH parallèlement à Wasabi CoinJoin pour l'obscurcissement du Bitcoin indique une stratégie multi-protocoles délibérée — un schéma de plus en plus courant dans les exploitations de plateformes, où les attaquants répartissent leur activité sur plusieurs chaînes pour diluer l'attention des enquêteurs.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions.