Bitget perd 351,6 millions de dollars dans un piratage du backend de son portefeuille, les retraits restent gelés

Bitget a confirmé environ 351,6 millions de dollars de transferts non autorisés depuis son infrastructure de portefeuilles chauds et tièdes le 24 septembre, dans ce qui pourrait être la plus grande brèche d'un exchange centralisé jusqu'ici en 2026. Les systèmes de la plateforme ont signalé les transferts à 18:31 UTC et les retraits de tous les utilisateurs ont été suspendus par précaution, tandis que les dépôts et la négociation sont restés ouverts.

Selon les conclusions préliminaires de l'équipe de sécurité, relayées par la directrice générale Gracy Chen, les attaquants ont compromis « un système backend critique au sein de notre infrastructure de portefeuilles, l'ont utilisé pour falsifier des données de transaction et ont déclenché notre processus d'autorisation pour sortir des fonds ». Chen a exclu une compromission de clé privée — le vecteur derrière certaines des plus grosses pertes du secteur — et déclaré que « le confinement des pertes est confirmé » : aucun autre transfert non autorisé n'est possible. Les portefeuilles froids hors ligne « restent totalement sécurisés ».

Le traqueur on-chain Lookonchain compte au moins neuf tokens dans le butin. La plus grosse ligne unique représente environ 102,9 millions de XRP, d'une valeur d'environ 157,5 millions de dollars, suivie de 31 890 ether (environ 85,8 millions de dollars). Le reste est surtout composé de stablecoins — environ 34,8 millions de dollars d'USDT, 21,1 millions de dollars d'USDC et 19,7 millions de dollars d'USDT0 — plus de plus petites quantités de Tether Gold, BNB, AVAX et TRX, pour un total proche de 357 millions de dollars. Une grande partie du solde en stablecoins a été rapidement échangée contre de l'ether, qu'aucun émetteur central ne peut geler : sur Arbitrum, une adresse fraîchement créée a dépensé environ 19,67 millions de dollars d'USDT0 pour acheter environ 7 111 ETH via UniswapX et 1inch Fusion. Les premiers décomptes on-chain, de $174 millions à $183 millions, couvraient environ la moitié du butin parce qu'ils omettaient les segments sur le registre XRP.

La perte, selon Bitget, se situe entièrement dans son Fonds de protection des utilisateurs, que la société valorise à plus de 464 millions de dollars. Le fonds a été créé en 2022 avec un engagement initial de 300 millions de dollars ; son rapport d'août 2026 faisait état de 5 500 bitcoin, d'une valeur mensuelle moyenne d'environ 382 millions de dollars et d'un pic proche de 441 millions de dollars. Chen a ajouté que Bitget détient plus de 1 milliard de dollars de capital propre et a rejeté les comparaisons avec FTX, en pointant son rival Bybit, qui a absorbé un vol d'environ 1,5 milliard de dollars en février 2025.

L'attribution reste ouverte. Chen a déclaré lors d'un livestream que certaines adresses IP utilisées dans l'attaque correspondent étroitement à des schémas de VPN liés à un groupe associé à la Corée du Nord, tout en soulignant que l'identité des attaquants n'est pas confirmée. Bitget a signalé les adresses réceptrices et a alerté les forces de l'ordre et des sociétés de sécurité on-chain, et certaines fondations ont gelé les portefeuilles des attaquants sur leurs registres.

Si elle est confirmée, la somme dépasserait les quelque 320 millions de dollars prélevés sur le Liquid Network le 6 septembre, que TRM Labs avait qualifié de plus grand vol de cryptomonnaies de 2026 avant cet événement. Le véritable test sera la réouverture des retraits, que Bitget n'a pas programmée : « Nous annoncerons un calendrier dès qu'il sera confirmé — nous ne nous engagerons pas sur une fenêtre que nous ne pouvons pas garantir », a écrit Chen. Un rapport d'incident complet couvrant la cause racine et les mesures correctives est attendu sous 24 heures.

Sources

• CoinDesk:
• investingLive:
• investingLive:
• CryptoBriefing:
• IBTimes UK: ibtimes.co.uk
• FinanceFeeds: