Sur un vol estimé à 387,5 millions de dollars chez Bitget, les émetteurs de stablecoins Circle et Tether n’ont réussi à bloquer qu’environ 318 000 dollars : le reste des avoirs dérobés, dont plus de 63 000 ETH, échappe à toute action de leur part.
Le piratage, détecté le 24 septembre à 18 h 31 UTC, a touché les portefeuilles chauds et tièdes de la plateforme d’échange sur plusieurs réseaux, dont Ethereum, XRP Ledger, Zcash et TRON. Le 25 septembre, la directrice générale Gracy Chen a relevé le montant total dérobé à 387,5 millions de dollars, contre 351,6 millions initialement, une hausse due selon elle à un recensement plus complet des transferts incluant Zcash et TRON, et non à de nouveaux vols.
D’après les données de blockchain, Circle a blacklisté le portefeuille étiqueté « Bitget Exploiter 8 » sur Etherscan le 25 septembre à 5 h UTC, en utilisant la fonction de gel intégrée au contrat du token USDC. Tether a suivi environ sept heures plus tard via une transaction signée en multisig qui a ajouté l’adresse à la liste noire de l’USDT.
318 000 dollars gelés, 63 000 ETH hors de portée
Le gel concerne 218 023 USDT et 99 990 USDC, soit environ 318 000 dollars, une fraction infime du butin. Le même portefeuille contient environ 170,47 ETH qu’aucun émetteur ne peut toucher, Ethereum n’ayant pas de fonction de gel. Selon le traqueur MistTrack, d’autres adresses liées aux attaquants détiennent encore plus de 63 000 ETH sur lesquels ni Circle ni Tether n’ont d’autorité.
L’attaquant semble s’être précipité pour convertir en ETH les actifs gelables avant l’intervention des émetteurs, consolidant les tokens volés dans des portefeuilles neufs et échangeant les stablecoins en quelques minutes, indiquent les données de blockchain rapportées le 25 septembre.
Bitget promet une prime à qui gèle ou récupère
Gracy Chen a annoncé un Recovery Bounty Program payant 5 % des fonds que des participants aident à geler et 5 % supplémentaires des fonds qu’ils aident à récupérer. Un tableau de bord de traçage en temps réel, un portail de soumission et l’API des adresses attaquantes ont été publiés, et Bitget passe par la plateforme LazarusBounty de Bybit.
Bitget a déclaré que certains avoirs volés ont déjà été gelés en coordination avec d’autres plateformes d’échange, des projets blockchain et des sociétés de sécurité. Le plan de rétablissement des retraits doit être annoncé au plus tard le 26 septembre à 4 h UTC, les dépôts et le trading restant disponibles. Les enquêteurs de Mandiant et de SlowMist poursuivent l’analyse forensique, et Bitget indique que le chiffre de 387,5 millions de dollars pourrait encore être révisé à mesure que d’autres transactions sont classées.
Partager
