La plateforme de cryptomonnaies Bitget a été victime d’une cyberattaque qui a entraîné le transfert d’actifs numériques d’une valeur d’environ 387,5 millions de dollars vers des adresses contrôlées par les attaquants. La société de renseignement en cybersécurité TRM Labs a qualifié l’incident de plus grand vol de cryptomonnaies en valeur cette année à ce jour.
Exploitation d’un système backend de gestion des portefeuilles
Bitget a relevé son estimation initiale des pertes, de 351,6 millions de dollars à 387,5 millions de dollars, après avoir comptabilisé des actifs supplémentaires sur les réseaux Zcash et Tron. Les systèmes de la plateforme ont détecté des transferts non autorisés depuis certains de ses portefeuilles à 18 h 31 UTC le 24 septembre, déclenchant les mesures d’urgence et la suspension temporaire des retraits.
La directrice générale de la plateforme, Gracy Chen, a déclaré que l’attaque ne reposait pas sur le vol des clés privées des portefeuilles, mais qu’elle visait un système backend lié à l’infrastructure des portefeuilles. Les attaquants sont parvenus à manipuler les données des transactions transmises au système d’autorisation, de sorte que les transferts malveillants apparaissent comme des opérations légitimes et passent par le mécanisme d’approbation.
La société a expliqué que les fonds affectés étaient répartis entre plusieurs niveaux de portefeuilles chauds et tièdes utilisés pour traiter les opérations, tandis que les portefeuilles froids, qui contiennent la majeure partie des actifs et sont maintenus à l’écart d’une connexion directe à Internet, sont restés sécurisés. Dans une mise à jour ultérieure, elle a ajouté que son équipe avait identifié le mode opératoire de l’attaque et la faille exploitée, puis corrigé le problème, parallèlement à une enquête indépendante menée par Mandiant et SlowMist.
Des mouvements sur plusieurs réseaux et actifs
Les actifs affectés comprenaient XRP, Ethereum (ETH), Tether (USDT), ZEC, USDC, USDT0, XAUt, BNB, AVAX et TRX. Les fonds ont transité par plusieurs réseaux, dont Ethereum et des réseaux compatibles, XRP Ledger, Zcash et Tron.
Les analyses de TRM Labs ont montré qu’une grande partie des fonds avait été répartie entre de nouvelles adresses en peu de temps, tandis que d’autres montants avaient transité par différentes plateformes et protocoles afin de compliquer leur traçage et leur récupération. La société a également détecté la conversion d’une partie des actifs en d’autres cryptomonnaies, notamment des fonds transférés vers le réseau Bitcoin via des services d’échange interchaînes.
Chen a déclaré que les premiers indices, notamment les schémas des adresses Internet et les mouvements de fonds sur la blockchain, rendaient probable l’implication d’attaquants liés à la Corée du Nord. TRM Labs a relevé des similitudes avec des schémas observés lors de précédents vols attribués à des entités nord-coréennes, sans considérer cette attribution comme définitive.
Fonds de protection et plan de reprise des retraits
Bitget a confirmé que les soldes des utilisateurs n’avaient pas été affectés et que les portefeuilles froids ainsi que Bitget Wallet, un portefeuille non dépositaire fonctionnant sur une infrastructure distincte, n’avaient pas été touchés par l’incident. La société a indiqué que le montant de la perte était couvert par le fonds de protection des utilisateurs, dont la valeur dépassait 464 millions de dollars au moment de l’attaque.
La société a expliqué que la suspension des retraits constituait une mesure de précaution destinée à mener un examen complet de la sécurité, tandis que les opérations de trading et les dépôts se poursuivaient. Elle a également identifié les adresses liées aux fonds volés, alerté les autorités chargées de l’application de la loi et des entreprises spécialisées dans la sécurité des blockchains, et fait appel à Mandiant et SlowMist pour enquêter et suivre les mouvements des actifs.
Bitget a lancé un programme de récompense offrant l’équivalent de 5 % des fonds que toute partie parviendrait à geler ou à récupérer, conformément aux conditions du programme. La société a déclaré qu’une partie des actifs affectés avait été gelée grâce à la coopération de plateformes, d’entreprises et de projets du secteur des cryptomonnaies.
La plateforme a commencé à rétablir progressivement les retraits. Les retraits de Bitcoin ont repris le 28 septembre, ceux d’Ethereum devant suivre le 29 septembre, puis ceux de Tether le 30 septembre. Le rétablissement des autres actifs, des monnaies fiduciaires et du trading de pair à pair est prévu le 2 octobre, après l’achèvement des tests de sécurité pour chaque étape.
