Bitget perd 351,6 M$ dans une fuite de hot wallet liée à la Corée du Nord
Le 24 septembre 2026, des attaquants ont vidé environ 351,6 millions de dollars des hot et warm wallets de Bitget sur sept réseaux blockchain, ce qui en fait l'un des plus grands piratages d'échange jamais enregistrés. Le PDG de Bitget a décrit l'implication de la Corée du Nord comme "très probable", et la société de forensique blockchain TRM Labs a identifié de multiples recoupements on-chain avec des wallets précédemment liés au groupe TraderTraitor, à l'origine du vol de Bybit en février 2025. Pour les cabinets comptables, les auditeurs et les directeurs financiers exposés aux actifs numériques, cet événement a des implications immédiates : il touche au risque de garde, à la comptabilisation des dépréciations, aux obligations de surveillance LBC et à la fiabilité de tout flux de travail logiciel de comptabilité crypto qui dépend de soldes détenus par un échange.
Ce qui s'est passé le 24 septembre 2026
À 18h31 UTC, Bitget a détecté des sorties non autorisées depuis ses hot et warm wallets. Les chaînes concernées étaient Ethereum, le XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Chain, Base et TRON. Les retraits ont été suspendus peu après la détection.
Comment l'attaquant a contourné les contrôles
Bitget est techniquement précis sur ce point : l'attaquant n'a pas volé les clés privées. Il a plutôt accédé à un système backend connecté à l'infrastructure de wallet de Bitget, manipulé les données de transaction présentées au processus d'autorisation et provoqué l'approbation des transferts sortants par ce processus. Les cold wallets n'ont pas été touchés. Le mécanisme ressemble étroitement à l'incident Bybit de février 2025, où les signataires se sont vu présenter des données de transaction usurpées et ont approuvé un transfert de cold wallet qu'ils croyaient de routine. Dans les deux cas, la surface d'attaque était la couche d'information située entre la décision d'autorisation et l'événement de signature réel, et non les clés cryptographiques elles-mêmes.
Ampleur à travers les chaînes
Les premières estimations on-chain évaluaient la perte entre 170 et 190 millions de dollars, car le suivi initial ne couvrait que les chaînes EVM. Les données de TRM Labs ont ensuite identifié environ 158 millions de dollars sortant via le XRP Ledger et 7 millions supplémentaires en TRX, ce qui aligne le total des sorties observées sur le chiffre rapporté par Bitget de 351,6 millions de dollars.
Flux de fonds : où l'argent est allé
TRM Forensics a étiqueté les adresses de l'exploiteur sous "Bitget Exploiter September 2026", élargissant la couverture d'Ethereum au XRP Ledger, au Bitcoin et aux wallets intermédiaires plus loin dans le flux de fonds.
Ethereum et chaînes EVM
Sur Ethereum, une part importante de la valeur volée est passée par une adresse de consolidation unique qui a également reçu des fonds d'Arbitrum, Avalanche, Base, BNB Chain et Optimism. Un second wallet de distribution a réparti son solde dans des wallets nouvellement créés sur environ deux heures dans la soirée du 24 septembre, la plupart des destinataires détenant environ 10 000 ETH chacun. Au matin du 25 septembre, huit wallets détenaient l'essentiel de l'ETH volé et aucun n'avait transféré de fonds plus loin.
XRP Ledger
Le XRP a suivi une structure parallèle. Les sorties sont passées par des comptes relais plus petits et sont arrivées dans des wallets de détention distincts contenant des montants ronds d'environ 20 millions de XRP chacun. La plupart sont restés stationnaires au matin du 25 septembre.
Activité de conversion et de pontage
Une partie du produit a commencé à se déplacer vers le Bitcoin avant le matin du 25 septembre. Les fonds sur BNB Chain et Ethereum ont été échangés via THORChain et répartis sur des adresses Bitcoin en chaînes de pelage. Sur TRON, les TRX volés ont été échangés contre des USDT sur SunSwap, transférés vers Ethereum via USDT0, puis sont entrés dans la même route THORChain. Des montants plus faibles sont passés par Across, Bridgers, Chainflip et FixedFloat. Un chemin documenté montre environ 9,8 millions de dollars en BNB quittant Bitget dans la soirée du 24 septembre, passant par plusieurs wallets de l'exploiteur, étant divisés en montants plus petits et atteignant THORChain sur environ 13 heures suivantes en transferts de quelques centaines de milliers de dollars chacun, où ils ont été convertis en Bitcoin.
Attribution : TraderTraitor et le lien avec la Corée du Nord
Gracy Chen, PDG de Bitget, a cité des adresses IP issues de l'enquête préliminaire de l'échange qu'elle a liées à des services VPN associés à un groupe de hackers nord-coréen, qualifiant l'implication de la Corée du Nord de "très probable". TRM Labs n'a pas procédé à une attribution définitive dans sa publication du 25 septembre, mais note de multiples recoupements on-chain avec des wallets utilisés pour blanchir des vols antérieurs attribués à TraderTraitor, notamment Bybit et AFX Bridge. TRM déclare n'avoir pas observé le même réseau de blanchiment travailler avec un autre groupe de hackers, ce qui pointe vers TraderTraitor tout en laissant ouverte la possibilité technique d'un acteur différent.
Si le vol est finalement attribué à la Corée du Nord, 2026 deviendrait la deuxième plus grande année enregistrée pour les vols de crypto liés à des États dans les données de TRM, avec plus d'un milliard de dollars volés dans des incidents confirmés et probables, derrière seulement 2025.
Bitget s'est engagé à publier un rapport d'incident complet. TRM s'attend à ce que des preuves techniques plus solides émergent dans les jours suivant la fuite.
Implications comptables et de reporting pour les entreprises
Une fuite de cette ampleur chez un échange majeur force un ensemble de questions comptables qui ne peuvent pas attendre que l'attribution soit confirmée.
Comptabilisation des actifs et dépréciation
Selon les IFRS et les US GAAP, les actifs numériques détenus sur un échange sont généralement comptabilisés au bilan de l'entité comme l'actif du propriétaire bénéficiaire, indépendamment de l'endroit où résident les clés privées. Si votre cabinet, fonds ou trésorerie d'entreprise détient des actifs sur Bitget, l'impossibilité de retirer ces actifs pendant une suspension des retraits est un déclencheur d'évaluation de dépréciation. Même si le Fonds de protection des utilisateurs de Bitget indemnise finalement les clients, la période d'incertitude doit être reflétée dans les informations à fournir en fin de période. Les auditeurs doivent demander une confirmation écrite à Bitget concernant le statut de tout solde client, la portée de la couverture du Fonds de protection des utilisateurs et le calendrier prévu de reprise des retraits.
Informations sur le risque de garde
Cet événement renforce l'obligation d'information que de nombreux préparateurs ont tardé à respecter. Lorsqu'une partie importante des actifs numériques d'une entité se trouve dans des hot wallets d'échange plutôt qu'en auto-conservation ou en conservation qualifiée, cette concentration représente un facteur de risque qui devrait apparaître dans les notes aux états financiers et, pour les entités publiques, dans les informations sur les facteurs de risque. Le mécanisme d'attaque ici, l'usurpation de la couche d'autorisation plutôt que le vol de clés, signifie que le langage standard sur la "sécurité des clés privées" dans les informations sur la garde peut être insuffisant. Les entreprises devraient examiner si leurs informations traitent de l'intégrité des systèmes backend et de la vérification des données de transaction.
Étapes pratiques pour les flux de travail logiciels de comptabilité crypto
Tout pipeline de logiciel de comptabilité crypto qui ingère des données de transaction de Bitget via API nécessitera une intervention manuelle. La réconciliation automatisée doit être suspendue ou signalée pour la période débutant le 24 septembre 2026, jusqu'à ce que Bitget confirme la portée des wallets affectés et fournisse des enregistrements de transaction faisant autorité. Traiter les sorties de l'exploiteur comme des retraits ordinaires dans un grand livre produirait une anomalie significative. Le traitement correct consiste à isoler la période affectée, à enregistrer toute perte confirmée comme une dépréciation ou une radiation, et à attendre le rapport d'incident avant de finaliser les soldes.
Obligations LBC et surveillance de la conformité
Pour les équipes de conformité des entreprises qui traitent des transactions impliquant des contreparties Bitget, les adresses de l'exploiteur étiquetées publiées par TRM Labs sont désormais actives dans les bases de données d'analyse blockchain. Toute transaction entrante qui peut être tracée, même sur plusieurs sauts, jusqu'aux adresses "Bitget Exploiter September 2026" porte un profil de risque de sanctions et de LBC élevé.
Défis de traçage cross-chain
La route de blanchiment documentée jusqu'à présent illustre pourquoi une surveillance mono-chaîne est inadéquate. Les fonds ont circulé des chaînes EVM vers XRP, puis via THORChain vers Bitcoin, avec des arrêts intermédiaires sur TRON et via plusieurs protocoles de pont. Un système de conformité qui ne surveille qu'Ethereum ou que les contreparties directes ne fera pas apparaître ces connexions. Les entreprises soumises aux obligations de la Travel Rule du GAFI ou déposant des déclarations d'activités suspectes doivent s'assurer que leur filtrage couvre les flux multi-sauts et cross-chain et inclut les protocoles de pont nommés dans l'analyse de TRM. Notre couverture précédente des piratages de ponts crypto et signaux d'alerte LBC expose le cadre de surveillance en détail.
Le risque de dormance
Au matin du 25 septembre, la plupart de l'ETH et du XRP volés n'avaient pas bougé des wallets de détention. Le précédent Bybit est instructif : une grande partie de ces produits est restée stationnaire pendant une période prolongée avant de passer par des mixeurs et des réseaux OTC. Les équipes de conformité doivent maintenir un filtrage actif contre les adresses étiquetées même lorsque les flux de fonds semblent s'être arrêtés, car l'inactivité est une caractéristique connue de ce schéma de blanchiment, et non un signe que les fonds ont été abandonnés. Le schéma des techniques de blanchiment nord-coréennes est exploré plus en détail dans notre analyse du réseau de blanchiment du groupe Lazarus.
Ce que les entreprises doivent faire maintenant
Les étapes suivantes sont pertinentes que votre entreprise détienne directement des actifs Bitget ou serve des clients qui en détiennent.
Actions immédiates
Premièrement, identifiez tous les soldes clients ou propres détenus sur Bitget et documentez leur statut au 24 septembre 2026. Deuxièmement, obtenez une confirmation écrite de Bitget sur la disponibilité des soldes et la couverture du Fonds de protection des utilisateurs. Troisièmement, suspendez les flux de réconciliation automatisée des API Bitget et passez à un examen manuel pour la période affectée. Quatrièmement, filtrez toutes les transactions entrantes récentes contre les adresses de l'exploiteur étiquetées désormais publiées par TRM Labs. Cinquièmement, examinez les informations sur le risque de garde dans tout état financier à signer prochainement.
Le Fonds de protection des utilisateurs de Bitget, annoncé à 464 millions de dollars, semble suffisant pour couvrir la perte déclarée de 351,6 millions de dollars, ce qui constitue une différence significative par rapport à un scénario de pure insolvabilité. Mais "suffisant dans l'ensemble" ne signifie pas "immédiatement disponible pour chaque utilisateur", et le calendrier de traitement des réclamations n'est pas encore public. Les entreprises ne doivent pas supposer que les récupérations arriveront au cours de la période de reporting en cours.
Questions fréquentes
Les clés privées de Bitget ont-elles été volées ?
Selon Bitget, non. L'échange affirme que l'attaquant a compromis un système backend et manipulé les données de transaction présentées à son processus d'autorisation, provoquant l'octroi d'approbations sans accéder aux clés privées. Les cold wallets ont été déclarés non affectés.
Comment les soldes clients sur Bitget doivent-ils être traités dans les états financiers dès maintenant ?
Les soldes qui ne peuvent pas être retirés doivent être évalués pour dépréciation à la date à laquelle les retraits ont été suspendus. Si le Fonds de protection des utilisateurs de Bitget confirme une couverture complète et que les retraits reprennent avant la date de reporting, la dépréciation peut être reprise. Jusqu'à réception d'une confirmation écrite, une provision ou une information sur l'incertitude est appropriée. Les auditeurs doivent obtenir une confirmation directe de Bitget plutôt que de se fier uniquement aux déclarations publiées par l'échange.
Les entreprises sont-elles légalement tenues de déclarer les transactions suspectes liées à ce piratage ?
Dans la plupart des juridictions membres du GAFI, les fournisseurs de services d'actifs virtuels et les institutions financières soumis à des obligations LBC doivent déposer une déclaration d'activité suspecte s'ils reçoivent des fonds qui peuvent être tracés, sur n'importe quel nombre de sauts, jusqu'à un exploit connu. Le seuil est constitué de motifs raisonnables de suspicion, et non de la certitude d'un lien. Les adresses de l'exploiteur étiquetées par TRM Labs sont désormais publiques et devraient être intégrées immédiatement dans les systèmes de filtrage.
L'attribution à la Corée du Nord est-elle confirmée ?
À la date de la publication de TRM Labs du 25 septembre, l'attribution n'a pas été formellement confirmée. Le PDG de Bitget a décrit l'implication nord-coréenne comme "très probable" sur la base de l'enquête préliminaire de l'échange. TRM a identifié de forts recoupements on-chain avec l'infrastructure de blanchiment antérieure de TraderTraitor, mais s'est abstenu de toute déclaration définitive, notant que des preuves techniques plus solides devraient émerger dans les jours à venir.
Qu'est-ce que cela signifie pour les entreprises qui évaluent la garde sur échange par rapport à l'auto-conservation ou à la conservation qualifiée ?
Cette fuite renforce le risque de garde inhérent aux hot wallets d'échange. Même lorsque les clés privées ne sont pas volées, une couche d'autorisation compromise peut produire le même résultat économique. Les entreprises détenant des actifs numériques importants devraient examiner si la concentration dans les hot wallets d'échange est cohérente avec leurs déclarations de politique d'investissement, l'appétit pour le risque du comité d'audit et toute orientation réglementaire applicable sur la conservation des actifs numériques. Là où une conservation qualifiée ou une auto-conservation avec modules de sécurité matériels est disponible, cet événement renforce l'argument en faveur d'une migration.
Source : TRM Labs