Bitget a fixé au 28 septembre la reprise des retraits de Bitcoin après un incident de sécurité survenu le 24 septembre, les services de retrait d’Ether, d’USDT et d’autres actifs devant suivre jusqu’au 2 octobre.
Bitget a indiqué dans une mise à jour que son équipe technique avait identifié et corrigé les vulnérabilités liées à l’incident. La plateforme vérifie ses systèmes de retrait avant leur réouverture et a précisé que Mandiant, une société de cybersécurité détenue par Google, ainsi que la société de sécurité blockchain SlowMist, participent à l’enquête sur l’attaque.
Ces dates s’inscrivent dans un calendrier de réouverture planifié. Bitget a demandé aux utilisateurs de se fier aux avis publiés sur la plateforme et sur ses canaux officiels pour confirmer la disponibilité de chaque service. Les clients n’ont aucune démarche à effectuer avant la reprise des retraits, a-t-elle ajouté.
Selon le calendrier, les retraits de BTC sur le réseau Bitcoin doivent reprendre le 28 septembre à 08:00 UTC. Les retraits d’ETH sont prévus à la même heure le 29 septembre sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism.
Les retraits d’USDT sont programmés pour le 30 septembre à 08:00 UTC sur Ethereum, BNB Smart Chain, Solana et Tron. Bitget a placé les retraits des autres tokens, les services en monnaie fiduciaire et les transactions de pair à pair dans la phase finale, prévue le 2 octobre à 08:00 UTC.
Les listes de réseaux sont importantes pour les clients détenant de l’ETH ou de l’USDT : le retour programmé d’un token ne signifie pas que les retraits sur tous les réseaux rouvriront simultanément. Bitget a cité cinq réseaux pour la première phase de l’ETH et quatre pour l’USDT. La plateforme n’a pas fourni de liste réseau par réseau pour les autres tokens dans le calendrier partagé avec les utilisateurs.
Le trading et les dépôts ont continué pendant la suspension des retraits, selon la plateforme. Bitget a décrit cette suspension comme une mesure de sécurité temporaire et a déclaré que les soldes des comptes clients n’avaient pas changé. Son affirmation selon laquelle les actifs des utilisateurs ne sont pas affectés fait référence aux soldes des clients ; la plateforme a signalé séparément des transferts non autorisés provenant de sa propre infrastructure de portefeuilles.
Bitget a détecté des transferts non autorisés depuis certains de ses portefeuilles le 24 septembre et a interrompu les retraits pendant son enquête. Comme l’a rapporté crypto.news vendredi, la plateforme avait initialement estimé qu’environ 351,6 millions de dollars d’actifs étaient concernés. Elle a indiqué que ses cold wallets étaient sécurisés et que son enquête préliminaire n’avait trouvé aucun signe de fuite de clé privée.
Dans un compte rendu ultérieur cité par Outlook Money le 26 septembre, Bitget a estimé à environ 387,5 millions de dollars la valeur transférée vers des adresses contrôlées par l’attaquant. Ce chiffre révisé incluait des actifs Zcash et TRON absents de la première estimation. Bitget a indiqué que son travail de traçage se poursuivait, de sorte que ce montant pourrait encore évoluer à mesure que les enquêteurs classent des transactions supplémentaires.
L’enquête initiale pointait vers une possible compromission d’un service backend de portefeuilles, selon les déclarations de Bitget relayées par crypto.news. La plateforme n’avait pas établi de point d’entrée définitif dans ce compte rendu. Son dernier communiqué indique que les vulnérabilités ont été corrigées, tandis que Mandiant et SlowMist continuent d’aider à l’enquête.
Bitget a déclaré que son fonds de protection couvrirait l’impact financier de l’incident. Pendant la suspension des retraits, la plateforme a indiqué que ce fonds détenait plus de 464 millions de dollars et que les soldes des clients restaient exacts. Cette déclaration sur le fonds reflète la manière dont Bitget entend absorber la perte ; cela ne signifie pas que les transferts non autorisés n’ont pas eu lieu.
La directrice générale Gracy Chen a également évoqué une possible implication nord-coréenne lors d’un échange public antérieur, en citant des similitudes liées aux adresses IP et aux services VPN. Elle n’a pas confirmé l’identité des auteurs de l’attaque. Aucun organisme gouvernemental n’avait publiquement attribué l’attaque, selon le précédent rapport d’enquête de crypto.news.
Alors que les retraits étaient suspendus, la chercheuse en sécurité Taylor Monahan a identifié des mouvements d’USDC qu’elle a liés à l’attaquant, notamment des transferts et des conversions en ETH. Ses conclusions, rapportées par crypto.news le 25 septembre, ont soulevé des questions quant à la possibilité pour Circle de bloquer les mouvements d’USDC volés. Le récit public n’a pas permis d’établir si Circle avait reçu une injonction légale concernant ces adresses.
La question a un lien direct avec les États-Unis, puisque Circle est l’émetteur d’USDC basé aux États-Unis. Circle a déclaré qu’elle gelait les tokens lorsqu’elle y était légalement contrainte. Dans une procédure fédérale distincte déposée aux États-Unis après l’exploit de Drift Protocol, un demandeur a allégué que Circle n’avait pas empêché des USDC volés de circuler via son système de transfert cross-chain. Cette allégation fait partie de cette procédure judiciaire ; elle ne constitue ni une décision de justice contre Circle ni une conclusion sur la réponse de Circle à l’incident Bitget.
Pour les clients de Bitget, la prochaine étape opérationnelle reste la fenêtre de retrait de Bitcoin prévue le 28 septembre à 08:00 UTC. La plateforme a indiqué qu’elle confirmerait chaque réouverture via ses avis officiels à mesure que les contrôles de sécurité seront achevés.
ETH
BTC