Bitget : comment près de 400 millions de dollars ont-ils pu disparaître en quelques transactions ?

L’attaque détectée le 24 septembre par Bitget est finalement plus importante qu’annoncé initialement. La plateforme estime désormais à environ 387,5 millions de dollars la valeur des actifs transférés vers des adresses contrôlées par les pirates, contre 351,6 millions dans son premier bilan. Cette révision ne correspond pas à de nouveaux vols : elle intègre des transactions en Zcash et sur le réseau TRON qui n’avaient pas été comptabilisées au départ. Les actifs concernés comprennent notamment du XRP, de l’ether, plusieurs stablecoins, du BNB, de l’AVAX et du TRX.

Le point central de l’incident est que les pirates n’auraient pas eu besoin de vider un grand nombre de comptes individuels. Bitget fonctionne avec plusieurs niveaux de conservation des fonds. Les « cold wallets », conservés hors ligne et destinés à stocker une grande partie des réserves, n’ont pas été compromis. L’attaque a touché une partie des portefeuilles « hot » et « warm », qui restent connectés aux systèmes de la plateforme afin de permettre des retraits rapides. Selon la direction de Bitget, les clés privées n’auraient pas été volées : l’attaquant aurait compromis un système critique de l’infrastructure des portefeuilles, falsifié des données de transaction puis déclenché le processus d’autorisation permettant de transférer les fonds.

Quelques autorisations peuvent déplacer des centaines de millions

C’est précisément la différence entre une plateforme centralisée et un portefeuille personnel. Un exchange mondial regroupe les cryptomonnaies de nombreux clients dans un nombre relativement limité d’adresses opérationnelles. Une seule adresse peut donc contenir des dizaines, voire des centaines de millions de dollars. Lorsqu’un pirate parvient à contourner les contrôles qui autorisent les sorties de fonds, il peut déplacer des sommes considérables en quelques opérations blockchain, sans avoir à compromettre séparément chaque utilisateur. Bitget affirme avoir identifié puis corrigé la vulnérabilité et assure qu’aucun nouveau transfert non autorisé n’est désormais possible. Les spécialistes Mandiant et SlowMist participent à l’enquête technique.

L’affaire montre aussi les limites des mécanismes de sécurité classiques. Une plateforme peut disposer de réserves supérieures aux avoirs de ses clients, de portefeuilles froids et de systèmes multisouches tout en restant vulnérable au niveau de son infrastructure opérationnelle. Quelques jours avant l’attaque, Bitget affichait encore un ratio global de réserves de 135 %. Ce chiffre indique que la plateforme déclarait posséder davantage d’actifs que ceux dus aux utilisateurs, mais il ne protège pas contre une faille permettant de déclencher des retraits illégitimes depuis les portefeuilles connectés.

Un fonds de protection supérieur au montant volé

Bitget affirme que les soldes des clients ne seront pas amputés. Son fonds de protection était valorisé à plus de 464 millions de dollars au moment de l’incident, un montant supérieur à la perte actuellement estimée. Les retraits ont néanmoins été suspendus par précaution. Leur reprise doit se faire progressivement : bitcoin à partir du 28 septembre, ether le 29, USDT le 30, puis les autres actifs, les monnaies fiduciaires et les opérations P2P à partir du 2 octobre.

La récupération des fonds sera beaucoup plus complexe. Sur une blockchain publique, les mouvements peuvent être suivis, mais cela ne signifie pas qu’ils peuvent être annulés. Une partie des stablecoins peut être gelée par leurs émetteurs lorsqu’ils identifient des adresses compromises, tandis que des actifs comme le XRP ne disposent pas du même mécanisme centralisé de blocage. Les pirates ont déjà commencé à répartir certaines sommes entre plusieurs portefeuilles. La question centrale devient donc moins de comprendre comment quelques transactions ont pu représenter près de 400 millions de dollars que de savoir pourquoi un système d’autorisation disposait de la capacité de laisser sortir une telle somme avant que les contrôles d’urgence ne bloquent les mouvements.