La plateforme d'échange de cryptomonnaies Bitget a confirmé, le 25 septembre 2026, le vol de 351,6 millions de dollars d'actifs numériques après la compromission d'un système interne de son infrastructure de portefeuilles. Selon sa direction, l'attaque porte des caractéristiques déjà observées chez des groupes nord-coréens, mais l'attribution n'est pas encore établie de façon certaine. Voici ce qui est confirmé, ce qui reste au stade du soupçon, et ce que cet incident Bitget change pour les utilisateurs de plateformes d'échange.
Comment l'attaque contre Bitget s'est déroulée
D'après la déclaration de la directrice générale de Bitget, Gracy Chen, rapportée par Bleeping Computer, les attaquants ont compromis un système backend critique au sein de l'infrastructure de portefeuilles de la plateforme. Ce système a été utilisé pour falsifier des données de transaction et déclencher le processus d'autorisation interne, ce qui a permis de faire sortir des fonds des portefeuilles chauds et intermédiaires ("hot" et "warm wallets") de la plateforme. La méthode exacte d'intrusion initiale reste sous investigation.
| Élément | Détail |
|---|---|
| Montant confirmé | 351,6 millions de dollars |
| Systèmes touchés | Portefeuilles chauds et intermédiaires, sur Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base |
| Actifs visés | ETH, XRP, BNB, AVAX, USDT, USDC et d'autres jetons |
| Systèmes non touchés | Portefeuilles froids ("cold wallets"), la majorité des actifs de la plateforme, et le portefeuille indépendant Bitget Wallet |
Par précaution, Bitget a temporairement suspendu les retraits le temps de confirmer la sécurité de ses systèmes, avant de les rétablir progressivement. La plateforme indique que les soldes affichés sur les comptes des utilisateurs restent exacts et ne sont pas affectés par le vol.
Une attribution nord-coréenne suspectée, pas encore confirmée
Bitget indique avoir fait appel aux sociétés Mandiant et SlowMist pour l'assister dans l'investigation. Selon la direction de Bitget, l'analyse des schémas d'adresses IP et de l'activité on-chain présenterait des similitudes avec des modes opératoires déjà associés par le passé à des groupes de pirates nord-coréens. Il s'agit à ce stade d'une hypothèse fondée sur des indices techniques, et non d'une attribution officiellement confirmée par une autorité judiciaire ou gouvernementale : ce point doit être présenté comme suspecté, pas comme un fait établi.
Plusieurs médias spécialisés, dont TechCrunch, rapprochent cet incident du vol de 1,5 milliard de dollars visant la plateforme Bybit, également attribué à des acteurs nord-coréens et considéré comme le plus important vol de cryptomonnaies jamais recensé. Si l'attribution de l'incident Bitget se confirme, il s'agirait du vol le plus important de l'année 2026 dans le secteur des cryptomonnaies.
Ce que Bitget met en place pour les utilisateurs
Bitget a annoncé que son Fonds de protection des utilisateurs ("User Protection Fund"), doté d'environ 464 millions de dollars d'actifs, couvrira l'intégralité des pertes liées à cet incident. La plateforme affirme qu'aucun utilisateur ne subira de perte définitive de fonds à la suite de cette attaque, à condition que cet engagement soit tenu dans la durée.
À retenir : un fonds de compensation annoncé par une plateforme reste un engagement de l'entreprise, pas une garantie légale équivalente à une assurance dépôt bancaire. Pour un utilisateur, la meilleure protection reste de limiter les fonds laissés sur un exchange centralisé au strict nécessaire.
Comment se protéger après une cyberattaque comme celle visant Bitget ?
- Limitez ce que vous laissez sur un exchange. Ne conservez sur une plateforme centralisée que les montants nécessaires à vos opérations courantes ; privilégiez un portefeuille personnel ("self-custody") pour l'épargne de long terme.
- Activez une authentification forte non basée sur le SMS. Une application d'authentification ou une clé matérielle (FIDO2) réduit le risque de détournement de compte, même si l'incident Bitget n'implique pas directement les comptes clients.
- Méfiez-vous des messages liés à l'incident. Après une attaque très médiatisée, des campagnes de hameçonnage se font souvent passer pour la plateforme concernée afin de voler des identifiants ; vérifiez toujours l'origine d'un message avant de cliquer, une méthode déjà décrite dans notre article sur les comptes OpenAI compromis par des chercheurs.
- Pour les plateformes elles-mêmes, l'incident souligne l'importance de cloisonner strictement les systèmes autorisant les mouvements de fonds des systèmes exposés, de surveiller les anomalies dans le processus d'autorisation interne, et de limiter au strict nécessaire les montants détenus en portefeuilles chauds. Le vol par contournement d'authentification ou de session reste une technique récurrente chez les groupes nord-coréens, comme le montre notre analyse de la campagne WaterPlum et des faux entretiens d'embauche.
- Suivez les canaux officiels de la plateforme plutôt que des relais non vérifiés pour connaître l'état réel d'un incident en cours, notamment lors d'une suspension temporaire des retraits.
Points clés
À retenir :
- Bitget a confirmé le vol de 351,6 millions de dollars via la compromission d'un système interne d'autorisation de son infrastructure de portefeuilles, le 25 septembre 2026.
- Les portefeuilles froids et la majorité des actifs de la plateforme n'ont pas été touchés ; les retraits ont été suspendus temporairement par précaution.
- L'attribution à des groupes nord-coréens repose sur une analyse technique de Bitget, Mandiant et SlowMist : elle est suspectée, pas officiellement confirmée à ce stade.
- Bitget annonce couvrir l'intégralité des pertes via son Fonds de protection des utilisateurs, mais la meilleure protection individuelle reste de limiter les fonds laissés sur un exchange centralisé.