Bitget a confirmé que des attaquants ont dérobé 387,5 millions de dollars à ses portefeuilles d’échange le 24 septembre. Les retraits restent suspendus, tandis que l’entreprise affirme que son fonds de protection couvre la perte.
Mandiant et SlowMist enquêtent. La PDG Gracy Chen soupçonne une implication nord-coréenne, bien que le point d’entrée initial demeure non divulgué.
Alors, comment le piratage a-t-il potentiellement eu lieu ? BeInCrypto a établi une chronologie à partir d’informations publiquement disponibles.
24 septembre, 18 h 31 UTC : Bitget détecte des transferts non autorisés
Bitget indique que ses systèmes de sécurité ont détecté les transferts à 18 h 31 UTC et ont activé des procédures d’urgence dans les minutes qui ont suivi.
La violation a touché certaines parties de ses portefeuilles à chaud et à chaud/tiède, qui prennent en charge les opérations d’échange. Ses portefeuilles froids hors ligne sont restés sécurisés, selon l’entreprise. Le moment de la détection n’établit pas quand les attaquants ont d’abord accédé au système.
最新的进展同步一下：我们正在与独立第三方专家 @Mandiant 和 @SlowMist_Team 合作，对此次事件进行全面调查。 其他几点都是说过的，我再强调一下：-我们的首要任务是保障用户。用户余额保持完整，Bitget 用户保护基金将覆盖此次平台层面事件造成的影响。 -Bitget Wallet 为自托管钱包，运行于与… https://t.co/pZM4XzFolp
— Gracy Chen @Bitget (@GracyBitget) 25 septembre 2026
19 h 57–21 h 06 UTC : Des opérations inhabituelles déclenchent l’alerte
À 19 h 57, l’analyste DCF GOD a signalé une nouvelle dépense d’un portefeuille de 19,67 millions de dollars en USDT0 pour acheter 7 111 ETH en six minutes. Il aurait payé jusqu’à 5 % au-dessus des prix du marché.
Le comportement suggérait que quelqu’un avait donné la priorité au déplacement rapide des fonds. Leur mobile restait toutefois flou.
À 21 h 06, Bubblemaps a indiqué environ 180 millions de dollars transférés depuis les portefeuilles de Bitget vers une adresse destinataire commune, puis répartis vers plusieurs portefeuilles.
21 h 30 UTC : Chen confirme la violation
L’avis de sécurité de Chen a fixé la perte initiale à 351,6 millions de dollars et a confirmé que les retraits étaient suspendus.
L’avis est arrivé près de trois heures après l’heure de détection indiquée par Bitget. Cet écart soulève des questions sur sa réponse, mais ne prouve pas que les fonds ont continué à quitter le système pendant cette période.
25 septembre, 00 h 43 UTC : La méthode présumée apparaît
Chen a déclaré que les attaquants avaient compromis un système backend critique, c’est-à-dire le logiciel qui gère les opérations de portefeuille en coulisses.
Ils ont fourni de fausses données de transaction et déclenché le processus d’autorisation de Bitget. En termes simples, c’est son propre système qui a approuvé des transferts frauduleux.
Chen a déclaré que le vol de clé privée avait été écarté. La manière dont les attaquants ont accédé au backend, et quels contrôles ont échoué, nécessite encore une explication publique détaillée.
Grosse journée pour Bitget. Je m’attends et je sais que @Binance, l’écosystème @BNBCHAIN et la communauté feront tout ce qu’ils peuvent pour aider. Restez SAFU ! 🙏 pic.twitter.com/cyAEHdSi1S
— CZ 🔶 BNB (@cz_binance) 25 septembre 2026
14 h 03 UTC : La perte atteint 387,5 millions de dollars
Bitget a revu son estimation après avoir inclus les actifs Zcash et TRON concernés. Elle a déclaré que l’augmentation reflétait une comptabilisation plus complète du vol initial.
L’entreprise affirme que la vulnérabilité a été corrigée. Elle a promis une annonce sur un plan de retraits d’ici le 26 septembre à 04 h 00 UTC, sans s’engager à rouvrir les retraits à ce moment-là.
Pourquoi les enquêteurs soupçonnent une implication nord-coréenne
Chen a cité un comportement lié à l’IP et une activité blockchain compatibles avec des groupes nord-coréens. Plusieurs caractéristiques ressemblent au vol de Bybit de février 2025, que le FBI a attribué à la Corée du Nord.
Approbations manipulées : Bitget décrit de fausses instructions parvenant à son système d’autorisation. Sur Bybit, une interface compromise a trompé des signataires pour qu’ils approuvent une transaction malveillante. Les mécanismes diffèrent, mais les deux ont exploité le processus d’approbation.
Conversion rapide d’actifs : des fonds liés à Bitget ont rapidement acheté de l’ETH. Le FBI a documenté la conversion rapide des actifs volés de Bybit en d’autres crypto-monnaies.
Répartition des fonds entre portefeuilles : Bubblemaps a identifié plusieurs portefeuilles destinataires. D’après le FBI, les produits de Bybit se sont répartis sur des milliers d’adresses.
En utilisant THORChain : MistTrack a rapporté que les fonds issus de Bitget entraient dans le protocole et a identifié son utilisation antérieure pour déplacer des fonds volés de Bybit.
Ces parallèles soutiennent la poursuite des investigations. Ils n’identifient pas de manière indépendante les attaquants de Bitget.