Piratage de Bitget : 387,5 M$ volés via une chaîne de signature compromise

La plateforme d’échange de cryptomonnaies Bitget a été victime d’un vol de 387,5 millions de dollars après une attaque contre sa chaîne interne de signature des transactions. La société de sécurité GoPlus Security affirme qu’il ne s’agissait pas d’une fuite de clé privée, mais que les attaquants sont parvenus à faire produire par le système de signature de Bitget des signatures valides pour des transactions que la plateforme n’avait jamais approuvées. Le montant total est supérieur aux 351,6 millions de dollars annoncés précédemment, car Zcash et TRON ont également été pris en compte dans le calcul.

En bref :

• Les attaquants ont manipulé la chaîne de signature de Bitget, ce qui a permis de détourner 387,5 millions de dollars depuis des portefeuilles chauds et tièdes
• La plus grande vague, de 185 millions de dollars, a eu lieu en une minute environ, le 24 septembre
• GoPlus compare cette méthode d’attaque au piratage de Bybit en 2025, lors duquel 1,5 milliard de dollars ont été dérobés

Chaîne de signature compromise, aucune clé privée divulguée

Selon GoPlus Security, les attaquants ont réussi à pénétrer un élément crucial du back-end des portefeuilles de Bitget. Ils y ont manipulé les données de transaction afin que le système de signature légitime de la plateforme délivre des signatures valides pour des transferts qui n’avaient jamais été prévus.

Bitget indique pour sa part que le stockage à froid et Bitget Wallet, un produit d’auto-conservation géré séparément, n’ont pas été touchés. L’attaque a visé exclusivement les portefeuilles chauds et tièdes de la plateforme. La méthode d’accès initiale des attaquants n’est pas encore confirmée et Bitget n’a pas encore publié de rapport technique complet.

La chronologie montre la rapidité de l’attaque. Le 24 septembre à 18 h 31, une adresse d’attaquant a été créditée de 0,84 ETH pour couvrir les frais de transaction, depuis un portefeuille chaud déjà sous le contrôle des attaquants. Bitget affirme avoir détecté les transactions non autorisées la même minute. À 18 h 58, la première sortie importante, d’environ 34,75 millions de dollars en USDT, a suivi. La plus grande vague, à 19 h 16, a drainé en une minute environ quelque 185 millions de dollars, dont 13 966 ETH, 91,4 millions de XRP et 20,6 millions de TRX.

Comparaison avec Bybit et mesures contre de nouveaux dommages

GoPlus établit une comparaison avec le piratage de Bybit en 2025, lors duquel 1,5 milliard de dollars ont été dérobés parce que l’interface de signature avait été manipulée. Dans les deux cas, on trouvait une chaîne de signature unique reposant sur un seul point de confiance, ce qui en fait une cible attrayante pour les attaquants.

GoPlus a placé les adresses liées aux attaquants sur une liste de blocage et les a partagées avec des partenaires de l’écosystème afin de bloquer d’autres flux de fonds. Circle et Tether avaient déjà gelé 318 000 dollars d’actifs après l’incident. Selon le Bitget Stolen-Funds Tracker, 1 379 adresses d’attaquants sont actuellement enregistrées, pour une valeur totale de plus de 386 millions de dollars.

Le PDG de Bitget a par ailleurs exigé que THORChain bloque les adresses des attaquants. La plateforme a repris les retraits de manière progressive après l’incident de sécurité. Un rapport technique complet de Bitget sur les modalités exactes de l’intrusion fait encore défaut.