Le piratage de Bitget, d’un montant de 387,5 millions de dollars, porte à plus d’un milliard le total des vols de cryptomonnaies attribués à la Corée du Nord

Un bilan qui dépasse le milliard de dollars et un système d’approbation compromis

Le vol de 387,5 millions de dollars sur Bitget, le 24 septembre 2026, a porté à plus d’un milliard de dollars, pour l’année, les pertes liées aux pirates nord-coréens dans le secteur des cryptomonnaies, selon Chainalysis. Ajoutée aux 643 millions de dollars attribués à ces acteurs au cours des six premiers mois de l’année, cette attaque porte le bilan à au moins 1,0305 milliard de dollars.

L’attaque visait un système plus complexe qu’un simple mot de passe dérobé ou qu’une clé de portefeuille exposée. Les premières enquêtes décrivent un intrus ayant obtenu un accès par l’intermédiaire de produits de sécurité externes, pris le contrôle d’un serveur traitant les opérations d’un portefeuille et falsifié des informations d’approbation. L’infrastructure de Bitget a ensuite autorisé des transferts qui semblaient légitimes.

Chainalysis a indiqué que son enquête, publiée le 1er octobre, avait suivi des XRP dérobés jusqu’au bitcoin et mis au jour des schémas de blanchiment associés à des acteurs nord-coréens. Ses enquêteurs ont eu recours à l’intelligence artificielle pour automatiser une opération de traçage en moins de 10 minutes, contre plus de 20 heures de travail manuel. Cette rapidité ne signifie pas que le vol dans son ensemble a été élucidé ni que les fonds ont été récupérés.

L’incident a également révélé un réseau financier qui dépasse le cercle des attaquants. L’analyse des transactions ultérieures a permis d’identifier les frais perçus par des services d’échange, des réactions divergentes face aux fonds suspects et d’éventuels liens avec des intermédiaires spécialisés dans le blanchiment. Ces éléments montrent pourquoi repérer des cryptomonnaies volées sur une blockchain publique n’est que le début de leur récupération.

Plusieurs conclusions restent préliminaires. Chainalysis a attribué l’attaque à des acteurs nord-coréens, tandis qu’Elliptic a jugé ce lien très probable. Les informations publiques n’ont pas établi de manière concluante une attribution au groupe Lazarus en particulier, et les fournisseurs de sécurité dont les produits auraient permis l’accès n’ont pas été nommés.

Comment la perte a augmenté de 35,9 millions de dollars

Bitget avait d’abord estimé le montant du vol à 351,6 millions de dollars. Le 25 septembre, l’exchange a porté cette estimation à 387,5 millions de dollars après avoir identifié d’autres actifs concernés, notamment des transferts impliquant du Zcash et du Tron. Selon la plateforme, cette hausse de 35,9 millions de dollars correspond à une comptabilisation supplémentaire, et non à une seconde attaque.

Les estimations varient légèrement selon les enquêtes. Bitquery a retracé 386,80 millions de dollars à travers 23 transferts sur neuf blockchains. Une analyse technique a évalué le total plus large de Bitget à environ 388 millions de dollars sur 11 blockchains. Chainalysis a décrit la répartition initiale sur quatre principaux réseaux : 49,7 % sur Ethereum, 40,8 % sur XRP, 7,6 % sur Zcash et 1,8 % sur Tron. Ces pourcentages arrondis totalisent 99,9 %.

Ces chiffres reposent sur des périmètres de suivi différents et ne doivent pas être considérés comme des inventaires identiques. L’analyse technique a évalué la part en XRP à 157,8 millions de dollars et estimé qu’environ 214 millions de dollars provenaient de portefeuilles classés comme « warm » par Bitquery. Les portefeuilles « hot » et « warm » sont des réserves opérationnelles de cryptomonnaies qui servent aux transactions et aux retraits, contrairement aux réserves conservées entièrement hors ligne.

Les informations divergent aussi sur le moment où Bitget a détecté le problème. Plusieurs sources indiquent 18 h 31 UTC le 24 septembre. Une reconstitution détaillée situe à cette heure les premiers petits transferts et place l’alerte de rapprochement à 19 h 05. Cette distinction est importante, car cette dernière analyse estime qu’environ 238 millions de dollars, soit près de 61 % du montant dérobé, ont été transférés après l’alerte.

Chronologie de l’intrusion à la reprise des services

Les premières conclusions attribuées à Mandiant et à SlowMist situent les premières activités malveillantes consignées au 31 août, soit plus de trois semaines avant le vol. La chronologie publique distingue l’accès initial, les mouvements de fonds et la réaction de l’exchange.

• 31 août : Les premières activités malveillantes consignées auraient exploité une vulnérabilité inconnue dans un produit de sécurité.
• 24 septembre, 17 h 49 UTC : Un outil de retrait personnalisé a commencé à fonctionner sur l’hôte du portefeuille.
• 24 septembre, 18 h 31 UTC : Les premiers transferts retracés ont déplacé 93 TRX, puis 0,84 ETH.
• 24 septembre, 19 h 05 UTC : La reconstitution détaillée situe à cette heure l’alerte de rapprochement de Bitget et les restrictions imposées aux demandes de retrait des clients.
• 24 septembre, 21 h 23 UTC : Le dernier transfert retracé a déplacé 223,20 ETH. Les services de retrait des portefeuilles, y compris la signature, ont été arrêtés à 21 h 44.
• 25 septembre : Bitget a identifié la cause première présumée, signalé l’incident aux forces de l’ordre et révisé son estimation des pertes.
• Du 28 au 30 septembre : Les retraits en bitcoin, en ether et en USDT ont repris progressivement. Des rapports préliminaires d’expertise ont été publiés le 30 septembre.
• 1er octobre : Chainalysis a publié ses conclusions sur l’attribution et le traçage. La reprise des services restants était prévue d’ici au 2 octobre.

Selon l’analyse détaillée, le service de signature est resté actif pendant deux heures et 39 minutes après l’alerte de 19 h 05. Le blocage des demandes ordinaires des clients n’a donc pas immédiatement interrompu l’accès distinct de l’attaquant au processus de retrait.

L’attaquant a utilisé le service de signature sans dérober les clés

Bitget a indiqué que la faille n’avait pas compromis les clés de ses portefeuilles froids et ne reposait pas sur de fausses demandes de retrait de clients. L’attaquant aurait plutôt transmis de fausses données d’autorisation de transaction depuis l’infrastructure des portefeuilles. Une clé privée est le secret qui autorise un transfert de cryptomonnaie. Dans ce cas, le problème serait qu’un service de signature légitime ait pu recevoir l’ordre d’approuver une transaction illégitime.

La reconstitution technique préliminaire décrit deux produits de sécurité non identifiés. Les activités sur le premier auraient permis à un script dissimulé de lire un mot de passe de base de données stocké dans une variable d’environnement. L’attaquant aurait ensuite utilisé la plateforme de gestion du deuxième produit sous l’identité d’un employé interne, avant d’atteindre un serveur de portefeuille en production et d’y installer un logiciel malveillant.

SlowMist aurait récupéré un outil supprimé, conçu spécifiquement pour le système de retrait de Bitget. Celui-ci falsifiait des champs de contrôle des risques et déclenchait le processus de retrait. Le lien exact entre l’accès initial à la base de données et l’identité utilisée pour le deuxième produit n’est pas confirmé.

Bitget a décrit le point d’entrée comme une vulnérabilité « zero day », c’est-à-dire une faille logicielle jusque-là inconnue. Au 2 octobre, selon l’analyse technique, aucun des deux fournisseurs n’avait été nommé et aucun identifiant de vulnérabilité ni avis public n’était disponible. Bitget a indiqué avoir corrigé la faille, mais les informations publiques ne permettent pas aux autres clients d’identifier les produits concernés.

Le produit distinct Bitget Wallet n’a pas été touché. Ce service repose sur une infrastructure différente et permet aux utilisateurs de contrôler leurs propres actifs. Cette distinction circonscrit l’étendue connue de la faille, sans réduire les pertes subies par les portefeuilles opérationnels de l’exchange.

Les éléments à l’appui de l’attribution à la Corée du Nord

La directrice générale de Bitget, Gracy Chen, a évoqué le comportement des adresses internet et les signatures des transactions sur la blockchain pour expliquer les soupçons de liens avec la Corée du Nord. Elle a décrit la technique en ces termes :

conforme aux techniques utilisées par des groupes de pirates liés à la RPDC

Chen a ensuite précisé que ce lien reposait sur des indices préliminaires. Chainalysis a également attribué le vol à des acteurs nord-coréens, tandis qu’Elliptic a mentionné des liens avec des adresses de blanchiment associées à des vols antérieurs, notamment celui de Bybit. TRM Labs a aussi jugé probable un lien avec la Corée du Nord, selon l’analyse technique.

Ces évaluations ne sont pas équivalentes à une conclusion judiciaire publique. Les travaux préliminaires de Mandiant n’ont nommé aucun attaquant, et les enquêtes n’ont pas établi publiquement qu’une branche particulière de Lazarus était à l’origine de l’intrusion chez Bitget.

Les chiffres annuels appellent également à la prudence. Les pertes de 285 millions de dollars subies par Drift Protocol le 1er avril et de 292 millions par KelpDAO le 18 avril représentent ensemble 577 millions de dollars, soit environ 90 % des 643 millions attribués à des acteurs nord-coréens au premier semestre. Les chercheurs ont lié l’attaque contre KelpDAO à TraderTraitor, un groupe associé à des attaques visant les infrastructures reliant les blockchains. Elliptic a par ailleurs recensé en 2026 plus de 51 incidents présumés liés à la Corée du Nord, une catégorie plus large que celle des pertes confirmées.

L’IA a accéléré une étape précise du traçage des fonds

Chainalysis a indiqué avoir travaillé avec Bitget et les forces de l’ordre pour suivre les actifs dérobés. En l’espace d’environ trois heures, les fonds avaient circulé par 23 transferts, avant de passer par des protocoles de liquidité, des services de messagerie, des échanges instantanés et des services de blanchiment.

Une étape clé consistait à faire correspondre les XRP dérobés, déposés dans un protocole, avec les bitcoins versés ailleurs. Ces services permettent aux utilisateurs d’échanger des actifs sur différentes blockchains. Les enquêteurs doivent relier les transactions entrantes et sortantes, même lorsqu’elles concernent des actifs, des adresses et des registres de transactions différents.

Chainalysis a suivi des dizaines de millions de dollars sur cette voie pendant environ un jour et demi, jusqu’à des adresses bitcoin contrôlées par l’attaquant. L’entreprise a indiqué que l’automatisation conçue à l’aide de son IA interne avait ramené cette tâche de rapprochement de plus de 20 heures à moins de 10 minutes, les enquêteurs orientant le travail et examinant les résultats. D’après ces estimations, l’opération a pris moins d’un cent vingtième du temps nécessaire auparavant.

D’autres mouvements étaient plus difficiles à suivre. L’attaquant a commencé à placer des fonds dans le pool protégé de Zcash, dont les fonctions de confidentialité dissimulent des détails de transaction qui permettraient autrement de relier expéditeurs, destinataires et montants. Chainalysis a indiqué qu’elle continuerait à surveiller les adresses de destination et à partager des informations avec les exchanges et les forces de l’ordre.

Le traçage ne permet pas à lui seul de saisir les fonds. Le bitcoin et l’ether n’ont pas d’émetteur central capable de geler un solde. La récupération nécessite généralement la coopération d’une plateforme, l’intervention d’un émetteur ayant le pouvoir de geler les fonds ou la prise de contrôle des actifs par les autorités.

Les services d’échange divisés sur l’opportunité d’intervenir

NEAR Intents a indiqué que son système SHIELD avait bloqué plus de 50 millions de dollars de transferts tentés en lien avec l’attaque et gelé environ 503 000 dollars en cours d’exécution. Alex Shevchenko, directeur général, a déclaré qu’environ 166 000 dollars avaient transité avant l’arrêt des flux suspects.

THORChain a continué à traiter les échanges et rejeté la demande de Bitget d’intervenir de manière ciblée. Le protocole a distingué l’arrêt d’urgence du réseau, destiné à protéger ses propres opérations, du blocage d’adresses ou de transactions individuelles. Il a cité son propre piratage de 10,7 millions de dollars en mai, en affirmant que les attaquants n’avaient pas non plus été ensuite exclus des échanges.

Un relevé de BlockSec daté du 29 septembre a estimé à environ 269 millions de dollars les flux liés à Bitget ayant transité par 7 804 transactions sur THORChain. Il s’agit d’un volume traité, pas nécessairement d’un montant distinct de fonds volés : les mêmes fonds peuvent être comptabilisés plusieurs fois au fil de leur passage par le service.

Les estimations des gels diffèrent également. Une analyse a évalué à environ 318 000 dollars le total des stablecoins gelés par Circle et Tether. Une estimation technique plus large, publiée le 1er octobre, a évalué à environ 1,1 million de dollars les fonds gelés par ces émetteurs et NEAR Intents. Ces chiffres portent sur des périodes et des périmètres différents et ne doivent pas être additionnés comme s’il s’agissait de récupérations distinctes.

Les transactions de blanchiment ont généré des frais et une hausse des échanges

Le chercheur indépendant Andrey Sergeenkov a évalué à 761 725 dollars les frais de service et de protocole issus des transactions examinées jusqu’au 2 octobre à 10 h 22 UTC. Sa ventilation attribue 573 226 dollars aux fournisseurs de liquidité de THORChain, 149 417 dollars à MetaMask, 26 751 dollars à Chainflip et 12 332 dollars à CoW EthFlow.

Il a également identifié 259 718 dollars de commissions d’affiliation de THORChain versés à sept adresses présentant des liens financiers supplémentaires avec des portefeuilles ayant participé aux échanges. Une autre somme de 206 196 dollars a été versée à des destinataires pour lesquels il n’a pas établi de tels liens supplémentaires. Ces catégories de commissions d’affiliation constituent des chiffres analytiques distincts, et non des montants récupérés.

Le fait d’être désigné comme bénéficiaire de frais ne prouve pas que l’attaquant en est propriétaire. Sergeenkov a retracé une partie des recettes du plus important bénéficiaire identifié, qui avait reçu 177 499 dollars, jusqu’à des USDT, puis vers une adresse étiquetée « OKX Hot Wallet 5 ». Cette piste ne permet pas d’établir l’identité du client de l’exchange ni son implication dans le vol.

En septembre, THORChain a enregistré 3,01 millions de dollars de revenus système et 2,40 milliards de dollars de volume d’échange. Du 25 au 29 septembre, le protocole a traité environ 1,37 milliard de dollars, soit 57 % du volume mensuel, et généré quelque 1,9 million de dollars, soit 63 % des revenus mensuels. Ces totaux couvrent également des opérations qui ne sont pas liées aux fonds volés identifiés.

Dans sa déclaration, le protocole a décrit le calendrier de cette hausse :

Du 25 au 29 septembre, le volume quotidien s’est situé entre environ 190 et 460 millions de dollars, tandis que des fonds liés à l’attaque contre Bitget transitaient par le réseau.

Le nombre de portefeuilles actifs est passé de 23 500 en août à 25 000 en septembre, soit une hausse d’environ 6,4 %. Cette progression modeste contraste avec celle du volume d’échange, passé de 613 millions à 2,40 milliards de dollars. Ces chiffres témoignent de transactions importantes concentrées, plutôt que d’une hausse comparable du nombre d’utilisateurs.

Les intermédiaires pourraient rémunérer les attaquants avant la disparition des fonds

L’enquête sur le vol de 1,5 milliard de dollars environ subi par Bybit le 21 février 2025 montre pourquoi les fonds volés encore visibles ne correspondent pas nécessairement à l’argent toujours contrôlé par les pirates initiaux. Le FBI a attribué cette attaque aux acteurs de TraderTraitor liés à la Corée du Nord. Les chercheurs soupçonnent des intermédiaires spécialisés d’avoir accepté les actifs volés, payé leur valeur aux attaquants après déduction de frais, puis pris à leur charge le risque lié au blanchiment ultérieur.

La société de sécurité zeroShadow a estimé que plus d’un milliard de dollars dérobés à Bybit avaient été blanchis entre février et juin 2025. Cela ne prouve pas que la totalité de cette somme a été convertie en monnaie traditionnelle ni qu’elle correspond aux gains nets des attaquants. Chainalysis a également décrit le passage de dizaines de millions de dollars dérobés à Bybit et WazirX par le réseau de fournisseurs de Xinbi, où des intermédiaires auraient échangé des actifs traçables contre des stablecoins provenant d’autres activités criminelles.

Dans une révélation publiée le 5 octobre, l’enquêteur pseudonyme ZachXBT a déclaré avoir mis 349 700 dollars en stablecoins à disposition et accepté une perte de 5 % sur chaque ordre en se faisant passer pour un client. Il a affirmé qu’un opérateur appelé Jimmy Green avait contribué à révéler un groupe détenant plus de 12 millions de dollars liés à Bybit, après quoi Tether a gelé 442 000 USDT.

ZachXBT a affirmé que le réseau opérait à Hong Kong et en Chine continentale et avait blanchi plus d’un milliard de dollars pour Lazarus. Son ampleur et l’identité de l’opérateur n’ont pas été confirmées de manière indépendante par des accusations publiques. Il a également affirmé que des acteurs chinois chargés de transférer les fonds de Bitget avaient demandé de l’aide dans des groupes publics sur Discord et Telegram, et qu’un opérateur avait traité des fonds provenant de KelpDAO.

Le filet de sécurité financier de Bitget et les limites de la récupération

Bitget a indiqué que son fonds de protection des utilisateurs dépassait 464 millions de dollars avant l’attaque et qu’il couvrirait les pertes des clients. Le vol de 387,5 millions de dollars représente environ 83,5 % d’une réserve de 464 millions. Cette comparaison mesure la charge potentielle, mais ne prouve ni la manière dont les indemnisations ont été versées ni les actifs qui les ont financées.

Le 28 septembre, l’exchange s’est engagé à rétablir le fonds à au moins 300 millions de dollars dans un délai d’une semaine. Il a annoncé que l’opération était achevée le 30 septembre. Il a également proposé des récompenses pouvant atteindre 5 % pour les fonds gelés ou récupérés, noué des partenariats avec Mandiant et SlowMist et publié un tableau de bord de suivi des portefeuilles.

Selon Bitget, les opérations de trading et les dépôts sont restés ouverts pendant la suspension des retraits. Les retraits en bitcoin ont repris le 28 septembre, ceux en ether le 29 et ceux en USDT le 30. L’exchange a déclaré qu’aucune perte supplémentaire n’avait été constatée pendant la suspension. Dans les échanges rapportés, son jeton BGB a chuté de près de 7 %, à 1,93 dollar, avant de remonter à 1,97 dollar.

L’ampleur globale des pertes de septembre fait également débat. PeckShield a recensé 55 piratages pour un total de 766,5 millions de dollars, tandis que CertiK a comptabilisé 97 incidents pour 768,4 millions. Bitget représente environ la moitié de l’un ou l’autre total. Les informations font état d’une perte distincte de 319 à 320 millions de dollars sur le réseau Liquid, dont plus de 270 millions auraient été restitués. Un autre incident signalé chez Coldcard a impliqué environ 116 millions de dollars en juillet.

Les efforts de répression dépassent le cadre des vols visant les exchanges. Le Trésor américain a sanctionné huit personnes et deux entités accusées de blanchir des revenus issus de cybercrimes et du travail de spécialistes informatiques à l’étranger. Ses accusations mentionnaient des banquiers ayant géré au moins 5,3 millions de dollars par l’intermédiaire de First Credit Bank, ainsi que la dissimulation de fonds par des intermédiaires en Chine et en Russie. D’autres actions du ministère de la Justice concernaient 7,7 millions de dollars liés à une fraude présumée impliquant des travailleurs informatiques et plus de 15 millions de dollars liés à quatre vols attribués à APT38.

Ces actions montrent pourquoi le gel, la saisie et la restitution sont des étapes distinctes. Le montant restant à récupérer par Bitget, l’identité des fournisseurs vulnérables et le rapport technique final n’ont toujours pas été établis. Aucune date ferme n’a été annoncée pour la fin de l’enquête ni pour la restitution des actifs volés.

À retenir

• La perte révisée de Bitget, estimée à 387,5 millions de dollars, porte à au moins 1,0305 milliard de dollars le total déclaré des vols de cryptomonnaies liés à la Corée du Nord en 2026.
• Selon les premières conclusions, les retraits ont été rendus possibles par la falsification de données d’approbation, et non par le vol de clés privées.
• Chainalysis a attribué l’attaque à des acteurs nord-coréens ; aucun lien spécifique avec Lazarus n’a été confirmé publiquement.
• L’IA a ramené à moins de 10 minutes une opération de traçage de fonds, sans toutefois permettre de récupérer les actifs.
• Les services d’échange ont eu des approches différentes face à l’intervention, tandis que les transactions de blanchiment examinées ont généré d’importants frais.
• Bitget a annoncé avoir reconstitué son fonds de protection à au moins 300 millions de dollars et a rétabli les retraits progressivement.
• Le montant définitif récupéré et l’identité des fournisseurs de sécurité concernés restent inconnus.