Lors d’un vol massif évalué à 387,5 millions de dollars sur la plateforme Bitget, les sociétés émettrices de stablecoins Circle et Tether n’ont réussi à immobiliser que 318 000 dollars. Le reste du butin, incluant notamment plus de 63 000 ETH, reste hors de portée de leurs interventions.
Identifié le 24 septembre à 18h31 UTC, l’incident de sécurité a affecté les wallets chauds et tièdes de Bitget sur des réseaux divers tels qu’Ethereum, XRP Ledger, Zcash et TRON. Le lendemain, Gracy Chen, directrice générale, a ajusté le montant volé de 351,6 millions à 387,5 millions de dollars, cette révision à la hausse étant attribuée à un décompte plus précis des transferts sur Zcash et TRON, et non à de nouveaux vols.
Selon les informations extraites de la blockchain, Circle a ajouté à sa liste noire le wallet marqué « Bitget Exploiter 8 » sur Etherscan, le 25 septembre à 5h UTC, en se servant de la fonction de gel intégrée au contrat du token USDC. Environ sept heures plus tard, Tether a procédé de même par une transaction multisig qui a inscrit l’adresse sur la liste noire de l’USDT.
318 000 dollars immobilisés, 63 000 ETH inaccessibles
Les fonds gelés comprennent 218 023 USDT et 99 990 USDC, soit un total d’environ 318 000 dollars, ce qui représente seulement une petite partie du total volé. Le même wallet détient environ 170,47 ETH qui sont hors de portée des émetteurs, puisque la blockchain Ethereum ne dispose pas de fonctionnalité de gel. D’autres wallets connectés aux malfaiteurs contiennent plus de 63 000 ETH, sur lesquels ni Circle ni Tether ne peuvent intervenir, d’après le service de suivi MistTrack.
Il semble que l’attaquant a rapidement converti en ETH les actifs susceptibles d’être gelés avant l’intervention des émetteurs de stablecoins, regroupant les tokens volés dans de nouveaux wallets et échangeant les stablecoins contre de l’ETH en quelques minutes, selon les données de blockchain du 25 septembre.
Bitget offre une récompense pour le gel ou la récupération des fonds
Gracy Chen a lancé un programme de récompense pour la récupération, offrant 5 % des fonds que les participants parviennent à geler et 5 % additionnels pour ceux qu’ils récupèrent. Un tableau de bord de suivi en temps réel, un portail pour soumettre des informations et une API pour les adresses impliquées dans l’attaque ont été mis en place, et Bitget s’appuie sur la plateforme LazarusBounty de Bybit pour cela.
Bitget a aussi annoncé que certains des fonds volés avaient déjà été gelés en coordination avec d’autres plateformes d’échange, des projets de blockchain et des entreprises de sécurité. La reprise des retraits devrait être annoncée au plus tard le 26 septembre à 4h UTC, tandis que les dépôts et les échanges restent actifs. Les équipes de Mandiant et de SlowMist continuent leur enquête forensique, et Bitget mentionne que le montant de 387,5 millions de dollars pourrait encore être ajusté à mesure que d’autres transactions sont analysées.