Le hacker de Bitget a converti des USDC volés en ETH après une faille que la plateforme d’échange a évaluée à environ 351,6 millions de dollars, relançant les interrogations sur le moment où Circle gèle les fonds liés à une attaque.

La chercheuse en sécurité Taylor Monahan a signalé l’activité de l’attaquant sur X, indiquant que des USDC transitaient par des wallets tandis que les actifs volés étaient convertis en ETH. Monahan s’est interrogée sur les raisons pour lesquelles ces fonds restaient mobilisables malgré la capacité de Circle à bloquer les transferts depuis des adresses USDC spécifiques.

Selon le compte rendu de Monahan, les transactions montrent que l’attaquant a utilisé des USDC au cours du processus de conversion. Sa critique porte sur la réponse de Circle face à des fonds identifiables, même si le compte rendu public des transferts n’établit pas si Circle a reçu une injonction légale concernant ces adresses, ni à quel moment elle en a appris l’identité.

L’attaquant de Bitget déplace des USDC après une faille de 351,6 millions de dollars

Bitget a déclaré que ses systèmes de sécurité avaient détecté des transferts non autorisés depuis certains hot wallets à 18:31 UTC le 24 septembre. La plateforme a déclenché une procédure d’urgence, suspendu les retraits des clients et estimé les actifs affectés à environ 351,6 millions de dollars. Les dépôts et le trading sont restés disponibles, tandis que Bitget a affirmé que les soldes des comptes étaient exacts et que ses cold wallets étaient sécurisés.

Dans son premier rapport sur la faille, crypto.news a relayé le récit de l’enquête préliminaire présenté par la PDG de Bitget, Gracy Chen. Chen a indiqué que les enquêteurs avaient exclu une fuite des clés privées des wallets et pensaient que les attaquants s’étaient introduits dans les systèmes de la plateforme pour déplacer directement les fonds, sans soumettre de demandes de retrait client. Bitget poursuivait encore son enquête sur le point d’entrée et n’avait pas publié de compte rendu final de l’attaque.

Le vol a impliqué plusieurs actifs, obligeant les enquêteurs à suivre plus d’un circuit pour les fonds dérobés. Le tracker on-chain Lookonchain a estimé le portefeuille volé à environ 356,8 millions de dollars en utilisant les prix au moment de sa mise à jour. Son détail comprenait 102,93 millions de XRP d’une valeur d’environ 157,48 millions de dollars, 31 890 ETH d’une valeur d’environ 85,75 millions de dollars, et 21,05 millions d’USDC. L’estimation on-chain évolutive de Lookonchain et le chiffre interne des pertes de Bitget reposent sur des mesures différentes.

Bitget a déclaré avoir signalé les adresses liées aux transferts anormaux et avoir informé les forces de l’ordre ainsi que des sociétés de sécurité on-chain. Chen a indiqué que les mesures visant à empêcher de nouvelles sorties de fonds avaient été finalisées, tandis que les ingénieurs travaillaient sur les réparations et le rétablissement du service de retraits.

La préoccupation de Monahan porte sur la part des actifs volés détenue en USDC. Les conditions d’utilisation de l’USDC de Circle précisent que l’émetteur se réserve le droit de bloquer les transferts vers et depuis certaines adresses on-chain dans le cadre de sa politique de blocklisting. Une fois qu’un attaquant échange des USDC contre de l’ETH, toutefois, le blocage d’une adresse USDC ne permet pas de geler l’ETH reçu lors de cet échange.

La politique de gel de Circle suscite un débat sur le temps de réponse

Circle a décrit un cadre plus restrictif d’utilisation de ses contrôles techniques que celui réclamé par ses détracteurs lors d’un exploit en cours. Dans une déclaration d’avril sur l’intervention légale, publiée après le hack de Drift Protocol, l’entreprise a indiqué qu’elle activait sa capacité de gel lorsqu’elle y était légalement contrainte par une autorité compétente. Circle a soutenu que laisser un émetteur décider seul des actifs à bloquer pourrait mettre en péril les droits de propriété de détenteurs légitimes.

Les conditions de l’USDC indiquent également que Circle peut être tenue de geler des tokens après réception d’une ordonnance émanant d’une autorité gouvernementale valide. Ces conditions réservent séparément le droit de bloquer certaines adresses que Circle détermine comme pouvant être associées à une activité illégale ou à une violation de ses conditions. Elles précisent qu’une transaction USDC on-chain ne peut être ni annulée ni rappelée une fois initiée.

Ces dispositions sont importantes pour les détenteurs américains, car Circle émet un stablecoin adossé au dollar utilisé sur les plateformes d’échange et dans les applications décentralisées, tandis que ses décisions de gel peuvent affecter l’accès aux tokens à une adresse donnée. La politique affichée par Circle place la procédure légale au cœur de cette décision. La critique de Monahan se concentre sur le temps disponible pour intervenir avant qu’un attaquant présumé n’ait fini de déplacer ou d’échanger les USDC.

Circle a indiqué dans sa déclaration d’avril qu’il existait des outils pour une intervention plus rapide, mais que les cadres juridiques permettant une action plus rapide et coordonnée tout en protégeant les droits des utilisateurs restaient incomplets. L’entreprise a appelé à des règles plus claires et à des mesures de sécurité à l’échelle des protocoles, des wallets, des plateformes d’échange et des émetteurs de stablecoins.

ZachXBT a documenté 15 cas antérieurs impliquant l’USDC

L’enquêteur on-chain ZachXBT a allégué en avril que Circle avait pris des mesures minimales ou n’avait pas agi suffisamment vite dans 15 cas impliquant plus de 420 millions de dollars de flux d’USDC présumés illicites depuis 2022. Sa liste couvrait des hacks et des affaires de fraude dans lesquels, selon lui, les fonds volés restaient mobilisables malgré le temps disponible pour identifier l’activité.

Comme précédemment rapporté par crypto.news, ZachXBT a cité environ 9 millions de dollars d’USDC liés au hack de GMX de juillet 2025 et a déclaré que les wallets impliqués dans le hack de Cetus n’avaient été bloqués qu’après la conversion des USDC volés en ETH. Il a également allégué que les attaquants dans l’affaire Drift avaient déplacé environ 232 millions de dollars en quelque six heures et via plus de 100 transactions avant de convertir les fonds.

Les transferts liés à Drift sont devenus l’objet d’une procédure civile aux États-Unis. En avril, un demandeur a poursuivi Circle au sujet des transferts ayant suivi l’exploit, alléguant que l’émetteur n’avait pas réussi à stopper environ 230 millions de dollars d’USDC volés acheminés via son Cross-Chain Transfer Protocol. La plainte, déposée devant un tribunal fédéral de district du Massachusetts, soutient qu’une intervention plus précoce aurait pu réduire les pertes. Il s’agit des allégations du demandeur, et non d’une conclusion judiciaire défavorable à Circle.

Dans cette affaire, le demandeur a également pointé le gel par Circle de 16 wallets liés à l’USDC dans le cadre d’une autre procédure civile américaine distincte, placée sous scellés, comme preuve que l’émetteur pouvait bloquer des adresses. La déclaration publique de Circle d’avril, publiée après l’attaque contre Drift, indiquait que les gels nécessitent une autorité légale et appelait à des structures juridiques permettant une action plus rapide lors de futurs incidents.