Afficher le sommaire Masquer le sommaire
La plateforme d’échange Bitget, victime d’un piratage jeudi 24 septembre, prévoit de puiser dans son fonds de protection de 5 500 bitcoins pour couvrir les pertes. Le montant volé absorberait environ 83,5 % de ce fonds. Sa directrice générale, Gracy Chen, soupçonne des pirates liés à la Corée du Nord, une piste qu’aucune autorité publique n’a encore confirmée. Le vol reste près de quatre fois inférieur au record historique du secteur, les 1,5 milliard de dollars dérobés à Bybit en février 2025.
Bitget a revu ses comptes vendredi 25 septembre. La plateforme d’échange de cryptoactifs, où l’on achète et vend bitcoins et autres monnaies numériques, estime désormais à environ 387,5 millions de dollars les actifs transférés la veille vers des adresses (l’équivalent de numéros de compte pour les cryptoactifs) contrôlées par un attaquant. Sa première estimation, publiée jeudi, s’élevait à 351,6 millions. Entre-temps, Bitget a intégré des actifs en Zcash, une cryptomonnaie conçue pour préserver la confidentialité des transactions, ainsi que des transferts sur Tron, une blockchain (registre public où s’inscrivent les opérations), qu’elle n’avait pas entièrement comptabilisés. L’entreprise assure que cette révision ne correspond à aucun nouveau détournement.
Avec ce montant, Bitget subit le plus important vol brut de cryptoactifs rendu public depuis janvier, c’est-à-dire mesuré à la valeur détournée au moment de l’attaque, avant toute restitution, tout recouvrement ou tout gel (le blocage des fonds par un intermédiaire par lequel ils transitent). Le précédent de l’année visait Liquid Network, dont les pertes avaient été évaluées à 319 millions de dollars au début de septembre par TRM Labs, une société américaine d’analyse des blockchains. L’estimation de jeudi plaçait déjà Bitget en tête, avec plus de 30 millions d’avance. Les quelque 36 millions ajoutés vendredi creusent l’écart sans changer le rang.
Cette mesure brute pèse lourd dans le classement. Selon TRM Labs, les auteurs de l’attaque contre Liquid Network ont restitué environ 85 % des fonds et n’ont conservé qu’environ 47 millions de dollars. Ramenés à la perte définitive, les 319 millions de Liquid Network fondent ainsi de 272 millions, et l’attaque recule loin derrière celle de Bitget si l’on ne compte que ce qui n’est jamais revenu.
Le record de Bitget fixe donc un ordre de grandeur au soir du piratage. Sa perte définitive se jouera dans les semaines qui viennent, selon les sommes que l’attaquant parviendra à conserver et celles que la plateforme réussira à faire bloquer.
Bybit, un record historique quatre fois plus élevé
Le record de Bitget change d’échelle dès qu’on remonte à 2025. En février de cette année-là, la plateforme Bybit s’était fait dérober environ 1,5 milliard de dollars. Le vol de Bitget représente à peine plus du quart de cette somme.
Rapporté à l’année 2026, l’incident déplace tout le bilan. TRM Labs recensait au 8 septembre 333 incidents depuis janvier, pour 1,73 milliard de dollars dérobés au total. Les 387,5 millions de Bitget équivalent à eux seuls à 22 % de cette somme, accumulée en huit mois et plus de trois cents attaques.
Ajouté à ce cumul, le montant de Bitget porterait les vols bruts de l’année au-delà de 2,1 milliards de dollars. TRM Labs n’a pas encore intégré l’incident dans son décompte, et ce total reste provisoire tant que la société n’a pas appliqué sa propre méthode. En s’en tenant à l’addition, les pertes de 2026 ont franchi en une soirée la barre des 2 milliards de dollars.
Des transferts validés par le circuit habituel
Cette soirée a commencé jeudi à 18 h 31 UTC, soit 20 h 31 à Paris. Bitget a alors détecté des transferts non autorisés depuis certains de ses portefeuilles « chauds », les comptes où la plateforme conserve des cryptoactifs en restant connectée en permanence à Internet, et depuis des portefeuilles intermédiaires, par lesquels transitent les fonds. Ses portefeuilles « froids », conservés hors ligne, n’ont pas été touchés, assure l’entreprise.
Gracy Chen décrit une attaque en trois temps. L’attaquant a d’abord compromis un système critique de l’infrastructure de portefeuille, puis falsifié des données de transaction, avant de déclencher le processus habituel d’autorisation. Selon la directrice générale, aucune clé privée, le code secret qui autorise les dépenses d’un portefeuille, n’a été dérobée.
Ces deux affirmations se tiennent ensemble. Faute de clés, l’attaquant a obtenu de la plateforme elle-même qu’elle valide des transferts dont il avait truqué le contenu en amont. Les contrôles de Bitget ont fonctionné comme prévu, sur des ordres déjà falsifiés, et laissé sortir 387,5 millions de dollars.
La plateforme dit avoir corrigé la vulnérabilité exploitée et n’avoir détecté aucun nouveau transfert non autorisé depuis l’incident. Bitget indique toutefois ignorer encore le vecteur initial de l’intrusion, sur lequel enquêtent notamment Mandiant, filiale de cybersécurité de Google, et SlowMist, société spécialisée dans la sécurité des blockchains. L’entreprise dit aussi avoir prévenu les forces de l’ordre, sans préciser lesquelles. Tant que la porte d’entrée de l’attaquant n’est pas identifiée, seule Bitget peut attester que la faille est refermée.
La piste de Pyongyang
L’identité de l’attaquant reste tout aussi incertaine. Gracy Chen soupçonne des pirates liés à la Corée du Nord : certains comportements associés aux adresses IP, l’identifiant d’une connexion à Internet, et les mouvements de fonds observés sur les blockchains présenteraient selon elle de fortes similitudes avec les méthodes de groupes nord-coréens déjà identifiés. Aucune autorité gouvernementale ni équipe d’enquête indépendante n’avait confirmé cette attribution vendredi soir.
Les chiffres de TRM Labs rendent le soupçon plausible. La société attribuait aux groupes liés à Pyongyang environ 643 millions de dollars de cryptoactifs dérobés au premier semestre 2026, soit 66 % des pertes de la période. Si la piste se confirmait, le vol de Bitget équivaudrait à 60 % de ce butin semestriel, en une seule opération.
Le précédent de Bybit montre ce qu’exige une attribution établie. En février 2025, le FBI avait officiellement imputé ce piratage à la Corée du Nord et l’avait rattaché à une activité malveillante baptisée « TraderTraitor ». La police fédérale américaine avait alors engagé sa propre autorité. Dans le cas de Bitget, seule l’entreprise victime s’est prononcée.
5 500 bitcoins pour éponger la perte
« Les fonds des utilisateurs restent en sécurité », affirme Bitget. La plateforme promet de prendre en charge les pertes, après évaluation, grâce à son fonds de protection, une réserve destinée à indemniser ses clients en cas d’incident. Ce fonds détient 5 500 bitcoins, que l’entreprise valorisait à environ 464 millions de dollars au moment de l’annonce. Les 387,5 millions volés en absorbent environ 83,5 %, avant déduction des sommes qui seraient gelées ou récupérées.
Au cours retenu par Bitget, il resterait environ 76 millions de dollars dans le fonds après indemnisation. Or cette marge se compte en bitcoins : une baisse d’environ 17 % du cours suffirait à l’effacer. Bitget s’engage à reconstituer le fonds après usage.
Gracy Chen revendique en outre plus d’un milliard de dollars d’actifs propres et affirme que Bitget couvre les avoirs de ses clients à hauteur de un pour un, chaque actif déposé étant adossé à un actif équivalent détenu par la plateforme. Ni ces déclarations ni les adresses publiques du fonds, consultables sur les blockchains, ne remplacent un audit financier. Les autorités américaines de supervision comptable rappellent qu’une preuve de réserves, l’exercice par lequel une plateforme montre les actifs qu’elle détient, ne vérifie ni l’intégralité de ses passifs, ni la disponibilité future de ces actifs, ni l’efficacité de ses contrôles internes. À ce stade, l’assurance que les clients ne perdront rien est une garantie donnée par Bitget.
Retraits suspendus, primes de 5 %
En attendant l’indemnisation promise, les clients de Bitget ne peuvent plus retirer leurs avoirs. Vendredi soir, les retraits restaient suspendus, tandis que les dépôts et le trading (l’achat et la vente d’actifs sur la plateforme) continuaient de fonctionner, selon l’avis officiel de Bitget. La plateforme devait présenter un plan de rétablissement des retraits avant samedi 26 septembre à 4 heures UTC, soit 6 heures à Paris, sans avoir fixé l’heure de leur reprise effective.
Pour réduire la perte finale, Bitget a lancé la traque des fonds. L’entreprise promet une prime de 5 % aux acteurs qui contribuent directement au gel de fonds contrôlés par l’attaquant, et une autre prime de 5 % pour l’aide à leur récupération. Elle a ouvert un tableau de suivi en temps réel, un portail de signalement et une interface qui recense les adresses associées à l’attaque.
Des acteurs du secteur auraient déjà bloqué une partie des avoirs, sans que Bitget ait publié vendredi soir de bilan consolidé de ces montants, ni fait vérifier ces chiffres par un tiers. Chaque somme gelée viendra en déduction des 387,5 millions que le fonds de protection doit couvrir, et rapportera 5 % de sa valeur à celui qui l’aura bloquée.
