Bitget indique qu'environ 387,5 millions de dollars d'actifs ont été transférés vers des adresses contrôlées par l'attaquant lors d'une violation de portefeuille le 24 septembre. Les retraits sont restés suspendus dans les avis publiés jusqu'au 25 septembre, même si les dépôts et le trading ont continué de fonctionner.

Le jour même de la détection de la violation, la banque suisse Sygnum a annoncé que les clients institutionnels de Bitget pourraient trader contre des garanties détenues auprès de la banque plutôt que de placer ces garanties dans les portefeuilles de Bitget.

Cette juxtaposition soulève une question derrière la promesse de la conservation hors exchange : quels actifs échappent à une violation du portefeuille d'un exchange, et sur quoi l'exchange lui-même reste-t-il déterminant lorsque le trading ou les retraits sont perturbés ?

L'offre de Sygnum est disponible pour les clients institutionnels éligibles qui s'inscrivent directement auprès de la banque. Aucune deux sociétés n'a divulgué combien de clients de Bitget utilisent le service, ni si des garanties détenues par Sygnum étaient liées à l'incident.

Une violation parallèle à une nouvelle voie de conservation

Bitget a déclaré que ses systèmes avaient détecté des transferts non autorisés à 18h31 UTC le 24 septembre. Son premier avis évaluait les fonds touchés à environ 351,6 millions de dollars et indiquait que la violation avait atteint une partie de ses couches de portefeuilles chauds et tièdes, tandis que les portefeuilles froids restaient sécurisés. Dans ce type d'architecture d'exchange, les portefeuilles chauds connectés à Internet gèrent les dépôts et retraits courants, les portefeuilles tièdes servent de tampon intermédiaire, et l'essentiel des réserves est conservé en stockage froid hors ligne.

Dans une mise à jour du 25 septembre, l'exchange a relevé son estimation des actifs transférés vers des adresses contrôlées par l'attaquant à environ 387,5 millions de dollars après l'inclusion des transferts Zcash et TRON dans une comptabilité plus complète. Bitget a précisé que cette révision ne reflétait pas une nouvelle vague de transferts non autorisés.

Selon Bitget, elle a identifié et corrigé la vulnérabilité sous-jacente et contenu l'incident, avec l'aide de Mandiant, une société de cybersécurité détenue par Google, et du spécialiste de la sécurité blockchain SlowMist dans l'enquête.

L'avis de retrait indiquait que les retraits étaient temporairement indisponibles tandis que les dépôts et le trading restaient opérationnels, et l'exchange s'est engagé à annoncer un plan de retrait ou une mise à jour de statut avant le 26 septembre à 04h00 UTC. Pour un client détenant un solde Bitget ordinaire, un solde affiché et la possibilité de trader ne constituent pas en eux-mêmes une sortie pendant la suspension des retraits : les soldes détenus en garde figurent sur le registre interne de l'exchange et ne peuvent quitter la plateforme qu'une fois la fonction de retrait rétablie.

Le fonctionnement de l'arrangement Sygnum

Sygnum a indiqué que les clients institutionnels de Bitget peuvent utiliser son service Protect pour le trading au comptant et de produits dérivés, tandis que les garanties engagées restent sous la garde de Sygnum en Suisse. Bitget reflète le solde comme marge de trading. Ce modèle s'inscrit dans un ensemble plus large d'offres de règlement hors exchange dans lesquelles les garanties restent auprès d'un tiers réglementé tandis que la plateforme de trading les reflète comme m.

La banque cite le Bitcoin, l'Ethereum, les stablecoins et les bons du Trésor américain parmi les garanties éligibles. Son processus publié exige qu'un client s'inscrive auprès de Sygnum, signe un cadre contractuel, ouvre un portefeuille Protect et engage des actifs avant de recevoir la marge de l'exchange.

Selon la description de Sygnum, les garanties sont détenues dans des comptes ségrégués hors du bilan de la banque et sont à l'abri d'une faillite en vertu du droit bancaire suisse. Le maintien des actifs engagés auprès de la banque réduit l'exposition directe de garde aux portefeuilles propres de Bitget, et répond au souci que si un exchange connaît des difficultés financières, les garanties doivent rester en dehors de son patrimoine. Ce sont là des caractéristiques de l'arrangement telles que Sygnum les décrit.

L'annonce est datée du 24 septembre mais ne précise pas quand l'accès des clients de Bitget est devenu opérationnel, si l'intégration a précédé la violation de 18h31 UTC ou y a répondu, ni si un client de Bitget avait achevé son inscription. Elle ne fournit aucun solde de garanties spécifique à Bitget et ne dit pas si des actifs détenus par Sygnum étaient impliqués dans l'incident. Les chiffres cités dans le communiqué concernant l'actif total de Protect et la part du volume de trading de tous ses exchanges intégrés ne mesurent pas l'adoption par les clients de Bitget.

Les limites de la conservation et un filet de sécurité distinct

La page publique de Protect met en avant des ajouts et retraits de garanties flexibles. Elle ne publie pas le contrat spécifique à Bitget qui déterminerait quand les actifs engagés peuvent être libérés, comment les positions sont réglées, ou ce qu'il advient de la marge si Bitget suspend son service de retrait.

Un solde de trading reflété sur un exchange n'est pas non plus la même chose qu'un solde d'exchange retirable d'un client ordinaire. Le trading dépend toujours des processus d'ordre, de marge et de règlement de l'exchange, même lorsque les actifs engagés sont détenus ailleurs.

La conservation ségréguée peut réduire l'exposition au vol depuis les portefeuilles détenus par Bitget et à l'olvabilité de Bitget, selon Sygnum. Cependant, les documents publics n'établissent pas qu'un client de Protect peut immédiatement récupérer ses garanties engagées lors d'une perturbation d'un exchange, ni que les problèmes opérationnels d'un exchange ne pourraient jamais retarder le règlement. Ils ne montrent pas davantage qu'un client de Sygnum est bloqué de ses garanties dans cet incident. L'arrangement crée une frontière optionnelle entre les garanties institutionnelles et la garde des portefeuilles de Bitget.

Pour les utilisateurs détenant des actifs sur Bitget, l'exchange a renvoyé à son Fonds de Protection des Utilisateurs. Dans son premier avis du 24 septembre, Bitget a indiqué que le fonds valait plus de 464 millions de dollars et que l'incident, alors estimé à 351,6 millions de dollars, entrait dans sa couverture.

La page publique du fonds liste 5 500 $BTC et précise que les utilisateurs peuvent réclamer les pertes éligibles liées à des événements affectant toute la plateforme, indépendamment de leurs propres actions ou comportements de trading, Bitget se réservant le droit d'évaluer et d'enquêter sur les réclamations. La valeur en dollars d'un fonds libellé en Bitcoin évolue avec le prix du Bitcoin : le rapport d'août de Bitget évaluait la moyenne mensuelle du fonds à 382 millions de dollars et sa valeur de fin de mois à près de 432 millions de dollars pour le même holding de 5 500 $BTC.

Bitget a également déclaré avoir gelé une partie des actifs touchés grâce à une coopération avec des partenaires du secteur, bien que sa mise à jour du 25 septembre n'ait pas quantifié le montant gelé ou récupéré. Dans l'industrie, de tels gels dépendent généralement de la capacité de contreparties telles que d'autres exchanges et émetteurs de tokens à mettre sur liste noire les adresses contrôlées par l'attaquant.

Les prochaines épreuves mesurables seront un calendrier de retrait confirmé, une comptabilité plus ferme des pertes et récupérations, et les conditions de tout décaissement du fonds. Pour la comparaison des dispositifs de conservation, les éléments manquants sont l'adoption de Protect spécifique à Bitget et le contrat régissant la libération des garanties et le règlement lorsque l'exchange est sous tension.