Piratage de Bitget : la facture finale dépasse les 350 M$

La plateforme d'échanges de cryptomonnaies Bitget a confirmé, vendredi 25 septembre, avoir subi l'un des plus gros piratages de l'histoire du secteur. Le piratage de Bitget a d'abord été chiffré à 351,6 millions de dollars (308,5 millions d'euros) d'actifs dérobés, avant que ce montant ne soit revu à la hausse dans la journée.

Un vol détecté jeudi soir

Les systèmes de sécurité de l'exchange ont repéré des transferts non autorisés jeudi 24 septembre à 18h31 UTC, selon la version anglophone du communiqué de l'entreprise. Bitget affirme avoir immédiatement activé ses protocoles d'urgence et suspendu les retraits par précaution.

« Les fonds des utilisateurs sont en sécurité », Bitget, communiqué officiel.

Seule une partie des portefeuilles « chauds » et « tièdes » de la plateforme a été touchée, tandis que les portefeuilles froids, qui concentrent la majorité des actifs, n'ont pas été affectés. Bitget assure qu'aucune clé privée n'a été compromise et que le trading et les dépôts continuent de fonctionner normalement pendant la suspension des retraits.

Un montant révisé à la hausse

Ce qui semblait d'abord être un détournement de 150 à 170 millions de dollars s'est révélé bien plus important au fil des analyses on-chain. Le lendemain matin, Bitget a annoncé que le traçage confirmait un transfert de 387,5 millions de dollars vers des adresses contrôlées par les attaquants, contre 351,6 millions annoncés initialement, après l'ajout d'actifs en Zcash et en Tron.

Les actifs concernés incluent de l'Ethereum, du XRP, des stablecoins, de l'or tokenisé et plusieurs autres cryptomonnaies. Selon la société d'analyse Lookonchain, le décompte comprend notamment environ 102,93 millions de XRP (157,5 millions de dollars) et 31 890 ETH (85,8 millions de dollars).

Une attaque attribuée à la Corée du Nord

La directrice générale de Bitget, Gracy Chen, a affirmé sur X que l'entreprise détenait plus d'un milliard de dollars d'actifs propres et que l'attaque « présente une forte similarité avec les modes opératoires connus des groupes de hackeurs nord-coréens ».

Bitget affirme que la totalité de la perte sera couverte par son fonds de protection des utilisateurs, doté de plus de 464 millions de dollars. L'entreprise a également lancé un programme de récompense de 5 % pour encourager la restitution des fonds volés, et prévoit d'annoncer un plan de reprise des retraits d'ici le 26 septembre à 4 heures UTC.

Une année déjà marquée par des vols records

Ce piratage s'inscrit dans une série d'incidents qui font de 2026 une année noire pour la sécurité des plateformes crypto. Selon la société d'analyse TRM Labs, 333 incidents avaient déjà été recensés depuis le début de l'année au 8 septembre, pour un total de 1,73 milliard de dollars dérobés.

Avant Bitget, le piratage de la plateforme Liquid, début septembre, avait déjà dérobé environ 319 à 320 millions de dollars, selon BFMTV et CryptoSlate. En avril, l'exploit visant KelpDAO avait coûté 292 millions de dollars, dans un mois qui avait déjà généré près de 646,9 millions de dollars de pertes pour l'ensemble du secteur, selon CryptoSlate.

Les utilisateurs toujours privés de retraits

Les retraits restent suspendus au moment de la publication de cet article. Bitget a indiqué avoir signalé les adresses associées au piratage aux forces de l'ordre et à des sociétés d'analyse blockchain, et s'est engagée à publier un rapport technique complet incluant une analyse des causes profondes. La plateforme a précisé que son produit distinct de portefeuille auto-hébergé, Bitget Wallet, n'a pas été affecté par la faille, les deux infrastructures étant séparées.