La société de sécurité blockchain BlockSec a retracé le parcours des fonds volés lors du piratage de Bitget, indiquant qu'environ 387,5 millions de dollars ont été acheminés via Bitcoin, le protocole inter-chaînes THORChain et un service identifié sous le nom de CoinJoi. Cette traçabilité cartographie un schéma d'obfuscation devenu courant dans les piratages majeurs de plateformes d'échange : convertir les actifs on-chain, effectuer des échanges entre chaînes, puis fragmenter la piste.

Ce que la traçabilité de BlockSec a révélé

Selon l'analyse rapportée par BlockSec, les fonds volés à Bitget ne sont pas restés immobiles. L'attaquant a déplacé des actifs vers Bitcoin, utilisé THORChain comme couche de routage inter-chaînes et fait transiter les fonds par CoinJoi. Chaque étape sert un objectif distinct : rompre le lien on-chain entre le vol initial et toute tentative éventuelle de retrait des fonds.
THORChain permet des échanges inter-chaînes natifs sans jetons wrappés ni ponts centralisés, ce qui en fait un outil techniquement efficace pour transférer de la valeur entre chaînes. Après le piratage, la gouvernance de THORChain a rejeté une proposition visant à mettre sur liste noire les adresses du pirate de Bitget, une décision qui a suscité des commentaires du cofondateur d'Ethereum, Vitalik Buterin, et intensifié le débat sur la responsabilité des protocoles décentralisés dans le filtrage des fonds volés. Ce débat s'inscrit dans une dynamique réglementaire plus large : en 2022, l'Office of Foreign Assets Control du département du Trésor américain a sanctionné le mixer Bitcoin Blender.io et le protocole de mixing basé sur Ethereum Tornado Cash en raison de leur utilisation pour blanchir le produit de piratages, des actions qui ont alimenté un débat juridique durable sur la portée des sanctions face aux protocoles open source et sans permission.

Par ailleurs, la société d'analyse blockchain AMLBot a identifié une part plus réduite de ces mouvements : 4 BTC issus du piratage de Bitget ont été tracés jusqu'à Wasabi CoinJoin, un outil de confidentialité Bitcoin qui mélange les transactions pour brouiller les liens entre entrées et sorties. La référence à CoinJoi dans la traçabilité de BlockSec pourrait se rapporter à cette même activité de mixing, même si la note de recherche ne confirme pas si CoinJoi et Wasabi CoinJoin désignent le même service ou des étapes distinctes de la chaîne.

Les limites de la traçabilité

La traçabilité confirme les mouvements d'actifs observés ; elle n'établit pas leur destination finale. L'analyse rapportée par BlockSec montre où les fonds sont passés, mais pas s'ils ont été récupérés, gelés par des plateformes'échange ou convertis en monnaie fiduciaire. Ce sont des questions distinctes qui dépendent de la coopération éventuelle d'un service centralisé figurant sur le parcours avec les enquêteurs. C'est aussi ce qui rend la traçabilité exploitable : sa valeur pratique réside dans l'identification des points d'étranglement où les fonds peuvent encore être interceptés, tandis que les segments sans permission du parcours échappent largement au contrôle d'une quelconque partie.

Tous les fonds volés n'ont pas atteint les protocoles anonymes sans entrave. NEAR Intents a annoncé avoir bloqué environ 50 millions de dollars de flux liés au piratage de Bitget, ce qui constitue la plus grande interdiction isolée signalée sur la piste des fonds. Cela a laissé la majorité restante des 387,5 millions de dollars circuler par des canaux où l'intervention était soit indisponible, soit refusée.

Bitget elle-même a commencé à rétablir l'accès des utilisateurs à leurs fonds dans la foulée. Les retraits de Bitcoin ont repris après que le pirate a échangé de l'ETH via THORChain, les retraits d'Ether devant suivre. Cette séquence suggère que Bitget a donné la priorité au rétablissement de la liquidité BTC une fois que l'attaquant avait déjà déplacé hors de la plateforme la part du vol libellée en ETH.

Ce que cet itinéraire signale pour la criminalistique on-chain

Le parcours Bitcoin–THORChain–CoinJoi reproduit un schéma observé dans d'autres piratages majeurs de plateformes d'échange : utiliser un protocole inter-chaînes sans permission pour rompre la piste des actifs à la frontière des chaînes, puis appliquer une étape de mixing pour fragmenter les UTXO Bitcoin. Pour les équipes de criminalistique on-chain, cette combinaison exige une analyse sur au moins deux chaînes et un clustering probabiliste des UTXO, plutôt qu'un simple suivi d'adresses.

Le chiffre de 387,5 millions de dollars, s'il est exact, placerait cet incident parmi les vols les plus importants commis à l'encontre d'une seule plateforme d'échange ces dernières années. La traçabilité de BlockSec constitue le premier bilan public du mouvement des fonds, mais l'image complète de ce qui a été finalement récupéré, gelé ou blanchi dépendra des informations communiquées par les plateformes d'échange et les sociétés d'analyse dans les semaines et les mois à venir. Parmi les questions en suspens : savoir si d'autres services sur le parcours agiront pour geler les fonds, et si la décision de gouvernance de ne pas mettre sur liste noire attirera une nouvelle attention réglementaire sur les infrastructures inter-chaînes sans permission.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.