Bitget a terminé le 2 octobre 2026 la réouverture progressive des retraits, huit jours après le vol d’environ 388 millions de dollars dans ses portefeuilles chauds et tièdes. Le piratage de Bitget du 24 septembre est le plus gros vol de l’année à ce jour. La plateforme affirme que les soldes des clients ont été couverts intégralement par son fonds de protection des utilisateurs, sans perte répercutée sur eux.
Ce qui s’est passé le 24 septembre
D’après la page d’incident publiée par Bitget, les transferts non autorisés ont commencé à 18 h 31 UTC le 24 septembre, sur plusieurs blockchains. La cellule de crise a été activée à 19 h 14 UTC et les services de retrait ont été coupés et isolés à 21 h 44 UTC. Bitget dit avoir identifié la cause dès le lendemain matin, à 8 h 43 UTC, puis avoir saisi les autorités dans l’après-midi.
La première estimation, relayée par Bloomberg le 25 septembre, était de 351,6 millions de dollars. Bitget l’a ensuite portée à environ 387,5 millions en ajoutant des actifs sur Zcash et TRON oubliés dans le premier décompte, selon son annonce officielle. Le chiffre final vérifié atteint environ 388 millions de dollars, répartis sur 12 adresses et 11 blockchains. Parmi les actifs touchés : ETH, XRP, USDT, USDC, ZEC, BNB, AVAX, TRX et l’or tokenisé XAUt.
Comment les attaquants sont entrés
Selon Bitget, aucune clé privée n’a été compromise et le stockage à froid est intact. L’attaquant a exploité une faille « zero-day » dans un logiciel de sécurité fourni par un prestataire externe. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il a ainsi atteint les systèmes internes et obtenu des identifiants à hauts privilèges. Il a ensuite injecté de faux ordres de retrait dans le serveur des portefeuilles : les contrôles de risque les ont traités comme des retraits normaux. Les traces de ces ordres ont été effacées après coup.
Deux cabinets indépendants, Mandiant (Google Cloud) et SlowMist, ont rendu leurs rapports le 30 septembre. D’après Bitget, tous deux attribuent l’accès initial à des produits de sécurité tiers compromis, dont les éditeurs n’ont pas été nommés.
La PDG Gracy Chen a mis en cause des pirates nord-coréens, en s’appuyant sur l’analyse on-chain et le comportement des adresses IP, rapporte BleepingComputer. Cette attribution vient de l’entreprise : à la mi-octobre, aucune autorité ne l’avait confirmée publiquement.
Retraits, réserves et fonds de protection
Les retraits ont rouvert en quatre étapes, chaque fois à 8 h UTC : le bitcoin le 28 septembre, l’ETH le 29, l’USDT le 30, puis tous les autres jetons, la monnaie fiat et le C2C le 2 octobre. Le trading et les dépôts n’ont jamais été interrompus.
- Avant l’attaque, le fonds de protection détenait plus de 464 millions de dollars, selon Gracy Chen citée par Bloomberg.
- Le 28 septembre, Bitget s’est engagé à le reconstituer à au moins 300 millions de dollars en une semaine. Objectif atteint le 30 septembre selon la plateforme, avec 3 705 BTC dans le fonds.
- La preuve de réserves du 29 septembre affichait un ratio global de 131 % sur 19 actifs.
La récupération des fonds avance lentement. Bitget offre une prime de 5 % sur les sommes gelées ou récupérées et passe par la plateforme LazarusBounty de Bybit. Le site 24/7 Wall St. indiquait le 3 octobre que seuls 821 000 dollars environ avaient été gelés, dont près de 318 000 dollars en stablecoins bloqués par Circle et Tether.
Un mois noir pour la sécurité
Septembre 2026 a été le pire mois de l’année en matière de vols. PeckShield a recensé 766,5 millions de dollars dérobés lors de 55 incidents majeurs, CertiK 768,4 millions sur 97 incidents, selon Cointelegraph (1er octobre). Plus tôt dans le mois, environ 320 millions de dollars en bitcoins avaient été siphonnés d’un portefeuille utilisé par Liquid Network, rappelle Bloomberg.
Ce que cela change pour les utilisateurs
Les soldes n’ont pas été amputés et le ratio de réserves est resté au-dessus de 100 %. L’affaire rappelle toutefois que le risque d’une plateforme centralisée ne se limite pas à son propre code : il dépend aussi de ses fournisseurs. Pour comparer les historiques de sécurité, voyez notre avis sur Bitget et notre guide pour bien choisir une plateforme crypto. Garder son épargne de long terme en auto-conservation supprime ce risque précis, mais en crée d’autres, comme la perte de sa phrase de récupération.
Ce qu’il faut surveiller
- La publication d’un rapport technique complet, avec le nom des logiciels tiers en cause.
- Une éventuelle confirmation de la piste nord-coréenne par les enquêteurs ou la justice.
- Le niveau du fonds de protection, encore inférieur à celui d’avant l’attaque, et les montants gelés ou récupérés sur le tableau de suivi public de Bitget.