Bitget a confirmé que des attaquants ont dérobé 387,5 millions de dollars depuis les wallets de son exchange le 24 septembre. Les retraits restent toujours suspendus, tandis que la société affirme que son fonds de protection couvre la perte.
Mandiant et SlowMist mènent l’enquête. La directrice générale Gracy Chen soupçonne une implication nord-coréenne, bien que le point d’entrée initial demeure non divulgué.
Alors, comment ce hack a-t-il pu se produire ? BeInCrypto propose une chronologie fondée sur les informations disponibles publiquement.
24 septembre, 18h31 UTC : Bitget détecte des transferts non autorisés
Bitget affirme que ses systèmes de sécurité ont détecté les transferts à 18h31 UTC et enclenché les procédures d’urgence en quelques minutes.
L’incident a touché une partie de ses hot et warm wallets, qui assurent le fonctionnement de l’exchange. Ses cold wallets hors ligne sont restés sécurisés, selon la société. L’heure de détection n’indique toutefois pas quand les attaquants ont eu accès à la plateforme.
19h57–21h06 UTC : Des transactions inhabituelles tirent la sonnette d’alarme
À 19h57, l’analyste DCF GOD a signalé qu’un wallet récemment créé a utilisé 19,67 millions de dollars en USDT0 pour acheter 7 111 ETH en seulement six minutes. Il aurait payé jusqu’à 5 % au-dessus du prix du marché.
Ce comportement suggérait que les fonds devaient être déplacés rapidement. Leur véritable motif restait cependant inconnu.
À 21h06, Bubblemaps a indiqué qu’environ 180 millions de dollars avaient été transférés des wallets Bitget vers une même adresse de réception, puis partagés entre plusieurs wallets.
21h30 UTC : Chen confirme la faille de sécurité
Dans son avis de sécurité, Chen évoque une perte initiale de 351,6 millions de dollars, tout en confirmant la suspension des retraits.
L’annonce est intervenue près de trois heures après l’heure de détection communiquée par Bitget. Cet intervalle soulève des interrogations sur la rapidité de la réaction, mais ne prouve pas que des fonds ont continué d’être dérobés pendant tout ce laps de temps.
25 septembre, 00h43 UTC : La méthode suspectée se précise
Chen a expliqué que les attaquants ont compromis un système backend critique, c’est-à-dire un logiciel qui gère les opérations de wallet en arrière-plan.
Ils ont transmis de fausses données de transaction, déclenchant le processus d’autorisation de Bitget. En clair, le propre système de la plateforme a approuvé les transferts frauduleux.
Chen a précisé qu’un vol de clé privée avait été écarté. La façon dont les attaquants sont entrés dans le backend, ainsi que les contrôles ayant échoué, nécessitent encore une explication publique détaillée.
14h03 UTC : La perte atteint 387,5 millions de dollars
Bitget a corrigé son estimation après avoir inclus des actifs Zcash et TRON touchés. Elle précise que cette hausse reflète une meilleure prise en compte du vol initial.
L’entreprise indique que la faille a été corrigée. Elle a promis de communiquer un plan de réactivation des retraits d’ici le 26 septembre à 4h00 UTC, sans garantir une reprise à cette échéance.
Pourquoi les enquêteurs soupçonnent une implication nord-coréenne
Chen a évoqué des comportements d’IP et des activités blockchain correspondant à ceux des groupes nord-coréens. Plusieurs éléments rappellent le vol perpétré sur Bybit en février 2025, que le FBI avait attribué à la Corée du Nord.
- Approbations manipulées : Bitget décrit l’envoi de fausses instructions à son système d’autorisation. Chez Bybit, une interface compromise avait trompé les signataires pour faire valider une transaction malveillante. Les mécanismes diffèrent, mais tous deux exploitent le processus d’approbation.
- Conversion rapide des actifs : Les fonds liés à Bitget ont rapidement servi à acheter de l’ETH. Le FBI a également documenté la conversion rapide des actifs volés chez Bybit vers d’autres cryptomonnaies.
- Répartition des fonds entre plusieurs wallets : Bubblemaps a mis en évidence plusieurs wallets de réception. Selon le FBI, les fonds volés chez Bybit ont été disséminés sur des milliers d’adresses.
- Utilisation de THORChain : MistTrack a rapporté que les fonds dérobés à Bitget entraient dans le protocole, et a identifié son utilisation antérieure pour déplacer les actifs volés sur Bybit.
Ces similitudes justifient un approfondissement de l’enquête. Elles n’identifient cependant pas de façon certaine les auteurs du hack contre Bitget.
