Bitget a lancé une prime de récupération offrant 5 % pour le gel des actifs volés et 5 % supplémentaires pour leur récupération après une attaque qu’il avait initialement évaluée à 351,6 millions de dollars.

La PDG de Bitget, Gracy Chen, a annoncé cette prime sur X et a appelé les plateformes d’échange, les chercheurs en sécurité et les enquêteurs on-chain à aider au traçage des fonds. Elle a également remercié Circle et Tether d’avoir gelé des actifs liés à l’attaque.

Les deux récompenses couvrent des résultats différents. Dans le cadre du programme de Bitget, un participant éligible peut recevoir 5 % des fonds affectés qu’il aide directement à geler et 5 % des fonds qu’il aide directement à récupérer. La plateforme a indiqué que les actions volontaires ayant déjà permis un gel peuvent être prises en compte au même titre que les efforts futurs.

La prime de Bitget couvre séparément le gel et la récupération

Bitget déterminera qui est éligible, comment chaque contribution est mesurée et quel montant sera versé. La seule participation ne garantit pas une récompense, et la plateforme exclut les actions entreprises en vertu d’ordonnances judiciaires, de demandes des forces de l’ordre ou d’autres procédures légales.

L’entreprise a ouvert un tableau de bord de traçage en direct ainsi qu’un portail pour soumettre des informations sur les fonds affectés. Sa liste publiée d’adresses de réception principales couvre Ethereum et d’autres réseaux compatibles, le XRP Ledger, Zcash et TRON. Bitget a indiqué que le tableau de bord sera mis à jour à mesure que les enquêteurs identifieront davantage d’adresses et suivront de nouveaux mouvements.

L’initiative LazarusBounty de Bybit servira également de canal pour cet effort, selon Bitget. Les plateformes d’échange, les émetteurs de stablecoins, les bridges et les dépositaires figurent parmi les groupes que l’entreprise a appelés à surveiller les adresses listées.

Circle et Tether ont gelé respectivement 99 990 USDC et 218 023 USDT à des adresses liées à l’attaque, selon le précédent rapport partagé sur l’incident. Les montants totalisent environ 318 000 dollars. La mise à jour de Bitget indique que d’autres actifs affectés ont également été gelés grâce à un travail mené avec des partenaires du secteur, sans fournir de total cumulé des montants gelés ou récupérés.

Ce gel intervient après un examen attentif des mouvements d’USDC pendant l’attaque. La chercheuse en sécurité Taylor Monahan a signalé des transferts et des swaps impliquant l’attaquant, comme l’a rapporté crypto.news vendredi. Son compte rendu décrivait des USDC volés transitant par des portefeuilles, tandis qu’une partie des actifs était convertie en ETH.

Bitget relève à 387,5 millions de dollars son estimation des actifs transférés

Le dernier traçage de Bitget évalue à environ 387,5 millions de dollars la valeur transférée vers des adresses contrôlées par l’attaquant, contre une estimation initiale de 351,6 millions de dollars. L’entreprise a indiqué que ce chiffre révisé inclut des actifs affectés sur Zcash et TRON qui étaient absents de son premier calcul. Elle a attribué cette hausse à une comptabilisation plus complète de l’incident initial, et non à de nouveaux transferts non autorisés.

La plateforme a détecté des transferts non autorisés depuis certains hot wallets à 18 h 31 UTC le 24 septembre. Son premier avis de sécurité indiquait que des parties de ses systèmes de hot wallets et de warm wallets avaient été affectées, tandis que les cold wallets restaient sécurisés. Bitget a suspendu les retraits après avoir détecté les transferts, tout en maintenant les dépôts et le trading disponibles.

Les enquêteurs estiment qu’un attaquant a compromis un service backend de portefeuille, injecté de fausses informations de transfert dans les systèmes de Bitget et déclenché son processus d’autorisation. Chen a indiqué que l’enquête préliminaire avait exclu une fuite de clé privée. Le récit de la voie d’entrée suspectée a été couvert par crypto.news le 25 septembre, avant que Bitget ne publie son total révisé des actifs.

Dans sa mise à jour ultérieure, Bitget a déclaré que son équipe avait identifié le vecteur d’attaque et corrigé la vulnérabilité sous-jacente. Mandiant et SlowMist participent à l’enquête et aux vérifications de sécurité. La plateforme a indiqué avoir contenu l’incident et qu’aucun autre transfert non autorisé n’était possible.

Les actifs affectés incluent XRP, ETH, USDT, ZEC, USDC, USDT0, XAUt, BNB, AVAX et TRX, selon Bitget. Ses informations de traçage identifient jusqu’à présent quatre adresses de réception principales, une pour les réseaux EVM, une pour le XRP Ledger, une pour Zcash et une pour TRON.

Le rétablissement des retraits est prévu par phases

Bitget a publié un calendrier des retraits le 26 septembre après avoir effectué des vérifications supplémentaires de ses systèmes. Les retraits de bitcoin doivent reprendre à 08 h 00 UTC le 28 septembre. Les retraits d’ether sur les réseaux listés sont programmés à la même heure le 29 septembre, suivis de l’USDT le 30 septembre et des autres tokens, des services fiat et du pair-à-pair le 2 octobre.

La plateforme a indiqué que les soldes des comptes clients restaient inchangés et que son Protection Fund couvre l’impact financier de l’incident. Son premier avis évaluait ce fonds à plus de 464 millions de dollars, avant que l’entreprise ne révise son estimation des actifs transférés. Bitget n’a pas publié de nouvelle valorisation du fonds en parallèle du chiffre de 387,5 millions de dollars.

Pour les lecteurs américains, les gels effectués par les émetteurs concernent des tokens indexés sur le dollar qui peuvent également être détenus en dehors de Bitget. Les conditions d’USDC de Circle lui permettent de bloquer des transferts impliquant certaines adresses on-chain. Une affaire récente du département de la Justice des États-Unis a séparément impliqué l’aide de Tether pour tracer et bloquer des cryptoactifs liés à un réseau présumé illicite ; les autorités n’ont fait aucune annonce publique comparable concernant une action américaine dans l’enquête sur Bitget.

Chen doit animer une session de questions-réponses en direct à 07 h 30 UTC le 28 septembre afin de discuter de l’incident, du rétablissement des retraits et des prochaines étapes de Bitget.