Piratage de Bitget : ce que doit couvrir un logiciel de comptabilité crypto

Une attaque soupçonnée d'être liée à la Corée du Nord contre Bitget a porté le total des vols de cryptomonnaies attribués à la RPDC en 2026 au-delà du milliard de dollars, selon la société d'analyse blockchain Elliptic. Pour les équipes financières, l'essentiel est pratique : si vous détenez ou conservez des actifs numériques sur des plateformes d'échange, votre logiciel de comptabilité crypto et vos procédures internes doivent gérer le suivi de l'exposition, les événements de perte, le filtrage d'adresses et les preuves d'audit avant un incident, pas après.

Ce qui s'est passé chez Bitget

Chronologie et ampleur de l'incident

Bitget a détecté des transferts non autorisés depuis son infrastructure de portefeuilles chauds et tièdes le 24 septembre 2026, vers 18h31 UTC. Elliptic estime la valeur à plus de 350 millions de dollars. Les actifs concernés étaient répartis sur une longue liste de jetons et de réseaux : ETH, XRP, BNB, AVAX, USDT et USDC, sur Ethereum, le XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base.

Le stockage à froid de la plateforme n'aurait pas été touché. Par précaution, Bitget a suspendu les retraits. Sa directrice générale, Gracy Chen, a déclaré que la perte est intégralement couverte par le fonds de protection des utilisateurs de la plateforme.

Comment les attaquants sont entrés

Selon la communication publique de Chen, aucune clé privée n'a été compromise. Les attaquants auraient plutôt pénétré un système backend au sein de l'infrastructure de portefeuilles de Bitget et l'ont utilisé pour falsifier des données de transaction. Cette distinction compte pour quiconque évalue le risque de contrepartie. Une clé divulguée est une défaillance bien comprise. Un backend compromis capable de faire croire au système qu'un retrait est légitime est une défaillance de processus et d'architecture, et elle peut exister même lorsque la gestion des clés semble solide sur le papier.

Chen a également indiqué que l'attaque correspond à des techniques utilisées par des groupes de pirates liés à la Corée du Nord. Elliptic note que la base technique de cette attribution n'a pas encore été publiée par la plateforme, de sorte que le dossier public repose sur la déclaration de Bitget et sur l'analyse on-chain et off-chain d'Elliptic.

Pourquoi Elliptic relie le vol à la RPDC

Liens on-chain

Elliptic indique avoir signalé les adresses de l'exploit peu après les premières alertes. Elle a trouvé des liens entre les XRP pris lors de l'exploit Bitget et des ETH provenant d'un exploit antérieur attribué à la Corée du Nord. Elle a aussi trouvé d'autres connexions entre les fonds volés à Bitget et des adresses utilisées pour blanchir les produits de vols antérieurs attribués à la RPDC, dont un de 2025. La réutilisation d'infrastructures de blanchiment d'un incident à l'autre est, selon l'interprétation d'Elliptic, un trait récurrent du blanchiment lié à la RPDC, où la rapidité prime sur la discipline opérationnelle.

Comportement de blanchiment et indicateurs off-chain

Elliptic décrit deux schémas comportementaux. Premièrement, les fonds volés ont été rapidement échangés depuis des stablecoins et d'autres jetons non natifs vers l'actif natif de chaque blockchain, ce qui correspond à ce qui a été observé auparavant dans le blanchiment lié à la RPDC. Deuxièmement, l'exception s'inscrit aussi dans ce schéma : les actifs volés sur Arbitrum ont été rapidement transférés vers Ethereum via un bridge. Elliptic suggère que cela pourrait refléter des enseignements tirés de l'affaire de blanchiment KelpDAO, dans laquelle le Conseil de sécurité d'Arbitrum a agi pour geler 30 766 ETH. Elliptic ajoute que les indicateurs off-chain sont cohérents avec ceux observés lors d'opérations antérieures attribuées à la RPDC.

Le tableau plus large de 2026

Elliptic indique que le vol de Bitget serait le plus important vol unique attribué à la Corée du Nord en 2026, une année où elle a déjà suivi plus de 51 incidents liés à la RPDC. La même recherche fait aussi référence à un exploit de Drift Protocol de 286 millions de dollars avec une implication nord-coréenne soupçonnée. Le tableau ci-dessous liste les principales attaques antérieures contre des plateformes centralisées et des bridges qu'Elliptic dit avoir finalement attribuées à des acteurs liés à la RPDC.

L'attribution est une cible mouvante et doit être traitée avec prudence. Le directeur général de Bitget a lui-même qualifié l'acteur de groupe « probablement » nord-coréen, et les preuves techniques derrière cette affirmation ne sont pas encore publiques. Les équipes financières et de conformité doivent consigner l'attribution telle que rapportée par des sources nommées, et non comme une conclusion juridique établie.

Ce que cela signifie pour les équipes comptables et les directeurs financiers

La cartographie de l'exposition avant tout

La première question après tout incident sur une plateforme est simple : combien avions-nous là-bas, dans quels actifs, et à quelle date ? Les équipes qui détiennent des soldes sur plusieurs plateformes répondent souvent de mémoire ou à partir d'un tableur monté dans l'urgence. Un bon logiciel de comptabilité des actifs numériques devrait permettre d'extraire une position datée par plateforme, portefeuille et actif en quelques minutes, rapprochée des relevés de la plateforme et des données on-chain. Si vos registres ne sont mis à jour qu'en fin de mois, vous ne pouvez pas dire de façon fiable ce qui était à risque le 24 septembre.

Pour cet incident, la tranche pertinente des livres est tout solde détenu chez Bitget, en particulier dans les actifs cités dans l'exploit. Même lorsque Bitget affirme que les utilisateurs sont indemnisés, les équipes financières doivent tout de même documenter la position, la période de suspension des retraits et toute communication reçue de la plateforme.

Événements de perte, récupérations et fonds de protection des utilisateurs

Bitget affirme que le fonds de protection des utilisateurs couvre intégralement la perte. Pour les clients, cette déclaration ne résout pas à elle seule la question comptable. La reconnaissance éventuelle d'une perte, d'une dépréciation ou d'une récupération conditionnelle dépend du référentiel de reporting de l'entité, des termes de son contrat avec la plateforme, de la classification des actifs et de la question de savoir si les soldes propres de l'entité ont réellement été touchés. Ce sont des jugements qui relèvent du comptable responsable et de l'auditeur, et rien dans la source n'impose un traitement spécifique.

Ce que la source soutient, en revanche, c'est une discipline autour des preuves. Les équipes doivent conserver les déclarations publiques de la plateforme, toute notification aux clients, les registres de suspension des retraits et les instantanés de soldes. Si une récupération ou une indemnisation arrive plus tard, votre logiciel de tenue de comptes crypto doit permettre de la rattacher à la position d'origine plutôt que de l'enregistrer comme une entrée inexpliquée.

Suspensions des retraits et liquidité

Bitget a suspendu les retraits par précaution. Pour une équipe de trésorerie, une suspension signifie que des actifs normalement considérés comme disponibles peuvent être inaccessibles pendant une période. Même un gel de courte durée peut affecter les prévisions de trésorerie, les calculs de covenants ou les obligations de règlement qui dépendent de ces soldes. Signalez séparément les soldes concernés dans le reporting de gestion tant qu'une suspension est active, et notez quand l'accès est rétabli.

Implications fiscales pour les cabinets et leurs clients

La source est un rapport d'analyse on-chain, pas un guide fiscal ; elle ne dit donc rien sur la façon dont une juridiction traite les cryptos volées ou inaccessibles. La position fiscale dépend des règles locales, de qui a supporté la perte et de la question de savoir si un dispositif d'indemnisation a remboursé le détenteur. Les cabinets qui conseillent des clients ayant des soldes chez Bitget devraient éviter de présumer une perte déductible. Si le fonds de protection des utilisateurs couvre la perte, il peut n'y avoir aucune perte à déclarer. L'étape prudente consiste à documenter les faits dès maintenant et à obtenir un avis propre à la juridiction avant de décider quoi que ce soit pour une déclaration.

Angles conformité et LBC/FT

Filtrage par rapport aux adresses signalées

Elliptic indique avoir mis à jour ses jeux de données avec les adresses liées à cet incident, de sorte que les utilisateurs de ses outils verront les adresses nouvellement attribuées dans leurs workflows de filtrage, de surveillance et d'enquête. La leçon plus large pour les entreprises réglementées et leurs auditeurs : les fonds volés circulent vite, sont échangés contre des actifs natifs et transférés entre chaînes via des bridges. Toute entrée pouvant être rattachée à des adresses signalées constitue un risque, même si elle vous parvient plusieurs sauts plus tard.

Les cabinets comptables qui gèrent des portefeuilles clients, et les entreprises qui acceptent des paiements en crypto, doivent confirmer que les transferts entrants sont filtrés par rapport aux données d'attribution à jour et que les résultats du filtrage sont conservés comme preuves d'audit. Lorsque votre plateforme comptable importe des transactions on-chain, vérifiez que vous pouvez marquer et mettre en quarantaine les encaissements suspects sans casser le rapprochement.

Sanctions et obligations de déclaration

La source n'énonce pas d'obligations légales spécifiques découlant de cet incident ; aucune n'est donc affirmée ici. Ce que l'on peut dire, c'est que les produits liés à des acteurs soutenus par un État sont une préoccupation permanente pour les responsables de la conformité. La question de savoir si un incident déclenche une déclaration de soupçon ou un signalement similaire relève de la fonction de déclaration de blanchiment d'argent de l'entreprise selon le droit local. Vos registres comptables doivent permettre de répondre facilement aux premières questions probables du régulateur : quelles contreparties, quelles adresses, quelles dates.

Une checklist pratique pour les 30 prochains jours

Pour les cabinets comptables et les auditeurs

Demandez aux clients de lister chaque plateforme où ils détenaient des soldes au 24 septembre 2026, avec le détail par actif. Demandez les notifications et relevés de la plateforme. Confirmez si les fonds propres du client ont été touchés ou seulement ceux de la plateforme. Déterminez si des informations sur les événements postérieurs à la clôture ou sur la continuité d'exploitation sont pertinentes pour les clients ayant une exposition significative, et documentez le raisonnement dans un sens comme dans l'autre. Lorsque la preuve d'audit de l'existence repose sur les relevés de la plateforme, évaluez si l'incident modifie le degré de fiabilité que vous pouvez leur accorder.

Pour les directeurs financiers et les équipes de trésorerie

Examinez la concentration : quelle part de votre solde d'actifs numériques se trouve sur une seule plateforme. Vérifiez si vos contrats de conservation décrivent ce qui se passe en cas de piratage et comment s'appliquent le fonds de protection des utilisateurs, l'assurance ou la ségrégation. Évaluez la rapidité avec laquelle vous pouvez transférer des soldes vers l'auto-conservation ou vers une autre plateforme. Confirmez que votre politique sur les portefeuilles chauds et froids chez des tiers est écrite et approuvée.

Pour les systèmes derrière les livres

Quelle que soit la plateforme utilisée, testez-la face à ce scénario. Peut-elle produire une position datée par plateforme et par actif ? Peut-elle conserver un événement de perte ou de récupération avec les documents justificatifs joints ? Peut-elle signaler et isoler les transactions liées à une adresse signalée ? Peut-elle exporter une piste d'audit claire ? Ce sont les vrais critères de sélection d'un logiciel de comptabilité crypto après un incident comme celui-ci, davantage que n'importe quelle liste de fonctionnalités. Nos contenus connexes, dont notre analyse précédente du piratage de Bitget et du seuil du milliard de dollars attribué à la RPDC, vont plus loin sur la cartographie de l'exposition, et ce que les équipes financières doivent vérifier après le piratage de Binance couvre un examen comparable. Pour un précédent de moindre ampleur sur les gels et les récupérations, voir comment le gel de Mercado Bitcoin a affecté les équipes financières. Le cadre plus large figure dans notre pilier reporting de conformité crypto.

Ce qu'il faut surveiller ensuite

Questions ouvertes

Plusieurs points restent non résolus dans le dossier public. Bitget n'a pas publié la base technique de son attribution. Les mécanismes précis de la compromission du backend ne sont pas détaillés au-delà de la description de données de transaction falsifiées. Et si Bitget affirme que la perte est intégralement couverte, la manière et le moment dont les clients concernés ont été remboursés relèvent des communications propres de la plateforme.

Pourquoi cela continue de se produire

Elliptic note que la plupart des plus grands piratages de plateformes centralisées et de bridges ces dernières années ont finalement été attribués à des acteurs liés à la RPDC. Pour les dirigeants financiers, la conclusion n'est pas qu'une plateforme donnée est dangereuse, mais que le risque lié aux plateformes tierces est une menace récurrente, à l'échelle d'un État, qui doit figurer dans votre registre des risques avec un responsable nommé. Traitez-le comme une ligne permanente du reporting, appuyée par un logiciel qui enregistre les positions avec précision et par des procédures que vos auditeurs peuvent suivre.

FAQ

Combien a été volé lors de l'attaque contre Bitget ?

Elliptic rapporte plus de 350 millions de dollars de transferts non autorisés depuis les portefeuilles chauds et tièdes de Bitget, répartis sur des actifs dont ETH, XRP, BNB, AVAX, USDT et USDC sur plusieurs réseaux. Bitget affirme que la perte est intégralement couverte par son fonds de protection des utilisateurs.

La Corée du Nord est-elle confirmée comme responsable ?

Pas de manière concluante. Le directeur général de Bitget a déclaré que l'attaque correspond à des techniques utilisées par des groupes liés à la Corée du Nord et a qualifié l'acteur de groupe probablement nord-coréen. Elliptic relie les fonds volés à des adresses utilisées dans des blanchiments antérieurs attribués à la RPDC, mais la plateforme n'a pas publié la base technique de son attribution.

Que doit faire un logiciel de comptabilité crypto après un piratage de plateforme ?

Il doit afficher une position datée par plateforme, portefeuille et actif, permettre de joindre des preuves aux événements de perte ou de récupération, signaler les transactions liées à des adresses à risque et exporter une piste d'audit claire. Ces capacités permettent à une équipe de répondre rapidement à un auditeur ou à un régulateur.

Les clients peuvent-ils déclarer une perte fiscale sur des soldes Bitget ?

La source n'aborde pas le traitement fiscal, et celui-ci varie selon la juridiction. Si un fonds de protection couvre la perte, il peut n'y avoir aucune perte à déclarer. Documentez les faits dès maintenant et demandez un avis fiscal local avant de décider quoi que ce soit pour une déclaration.

Pourquoi le comportement de blanchiment importe-t-il pour les équipes financières ?

Les fonds volés sont échangés contre des actifs natifs et transférés entre chaînes via des bridges en quelques heures. Les encaissements qui remontent à des adresses signalées peuvent créer un risque de conformité même plusieurs sauts plus tard, de sorte que les résultats du filtrage doivent être conservés dans vos preuves d'audit.

Source : Elliptic