Le piratage de Bitget pousse le vol présumé de crypto par la Corée du Nord au-delà du milliard de dollars en 2026
Une intrusion chez Bitget, l'un des plus grands exchanges centralisés de crypto au monde, a fait franchir au vol présumé de crypto par la Corée du Nord le seuil du milliard de dollars en 2026. Le 24 septembre 2026 à environ 18h31 UTC, Bitget a détecté des transferts non autorisés vidant plus de 350 millions de dollars de son infrastructure de portefeuilles chauds et tièdes. La société d'analyse blockchain Elliptic a ensuite identifié des liens on-chain entre les fonds volés et des adresses de blanchiment utilisées lors d'exploits antérieurs déjà attribués à la République populaire démocratique de Corée (DPRK). Pour les cabinets comptables, les auditeurs et les directeurs financiers qui détiennent ou établissent des rapports sur des actifs numériques, cet incident n'est pas un simple titre lointain. Il a des implications directes pour l'évaluation de l'exposition à la contrepartie, la comptabilisation de la dépréciation des actifs et les processus de filtrage des sanctions.
Ce qui s'est passé chez Bitget
La faille : périmètre et actifs concernés
Bitget a confirmé que les transferts non autorisés ont balayé plusieurs classes d'actifs et réseaux : ETH, XRP, BNB, AVAX, USDT et USDC ont été affectés, répartis sur Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base. Le stockage à froid n'aurait pas été affecté. Par précaution, l'exchange a suspendu les retraits après la détection.
La directrice générale de Bitget, Gracy Chen, a divulgué un détail technique important : aucune clé privée n'a été compromise. Elle a plutôt décrit des attaquants ayant accédé à un système backend au sein de l'infrastructure des portefeuilles de Bitget et utilisé ce point d'ancrage pour falsifier des données de transaction. Cette distinction est importante pour l'analyse de la responsabilité et de l'assurance, car le vecteur d'attaque était une compromission du backend et non une défaillance cryptographique.
Couverture des pertes
Bitget a déclaré que la totalité de la perte est couverte par son fonds de protection des utilisateurs, ce qui signifie que les soldes des clients devraient être reconstitués à partir des réserves de l'exchange plutôt que par la récupération des actifs volés. La pérennité de cette assurance dépend de la taille du fonds par rapport à la perte, un chiffre que l'exchange n'avait pas confirmé publiquement dans son intégralité au moment de la publication.
Le cas de l'attribution au DPRK
Indicateurs on-chain
Elliptic a signalé les adresses associées peu après la diffusion des premières alertes. Son analyse a identifié des liens entre les XRP drainés de Bitget et des ETH provenant d'un exploit antérieur précédemment attribué à la Corée du Nord. Des liens supplémentaires ont été trouvés entre les fonds de Bitget et des adresses impliquées dans des activités de blanchiment issues d'autres piratages attribués au DPRK, dont un de 2025.
Deux schémas on-chain sont particulièrement significatifs. Premièrement, les stablecoins et jetons non natifs volés ont été rapidement convertis en actifs natifs de leurs blockchains respectives. Cette approche de conversion en actif natif est une technique de blanchiment documentée du DPRK, conçue pour réduire l'utilité des mécanismes de gel au niveau des jetons. Deuxièmement, les actifs détenus sur Arbitrum ont été rapidement transférés via un bridge vers Ethereum. L'analyse d'Elliptic suggère que cela pourrait refléter des leçons opérationnelles tirées de l'incident KelpDAO, dans lequel le Conseil de sécurité d'Arbitrum est intervenu pour geler plus de 30 000 ETH. En déplaçant rapidement les fonds hors d'Arbitrum, les acteurs semblent avoir devancé une réponse similaire.
Infrastructure de blanchiment partagée : un schéma, pas une coïncidence
La réutilisation d'une infrastructure de blanchiment à travers des incidents distincts est en soi un indicateur reconnu du DPRK. Elle reflète un style opérationnel où la rapidité prime sur la compartimentation. Les portefeuilles et les routes de bridge utilisés lors d'un exploit réapparaissent dans les suivants, créant des fils traçables entre des incidents qui semblent, à première vue, sans rapport.
Gracy Chen a déclaré lors d'une interview que l'auteur était « probablement un groupe nord-coréen », bien que Bitget n'ait pas publié la base technique complète de cette conclusion au moment de la publication. L'évaluation d'Elliptic est que les indicateurs off-chain sont également cohérents avec les opérations antérieures attribuées au DPRK.
Le bilan cumulé de 2026
Elliptic a suivi plus de 51 incidents liés au DPRK en 2026. La faille de Bitget, si l'attribution est confirmée, serait le plus grand vol individuel attribué à la Corée du Nord pour l'année en cours. Elle s'inscrit également dans une campagne pluriannuelle bien documentée. La liste des principaux piratages d'exchanges centralisés et de bridges finalement attribués à des acteurs liés au DPRK comprend Ronin Bridge (2022), Atomic Wallet (2023), CoinsPaid (2023), Alphapo (2023), Stake.com (2023), CoinEx (2023), WazirX (2024) et Bybit (2025). Le schéma est constant : cibles centralisées de grande taille, compromission sophistiquée du backend, blanchiment cross-chain rapide.
Obligations AML et de sanctions pour les équipes de conformité
Mises à jour du filtrage et de la surveillance
Elliptic a confirmé avoir mis à jour ses ensembles de données immédiatement pour inclure les adresses liées à l'exploit de Bitget. Tout prestataire de services sur actifs virtuels (VASP) ou institution financière utilisant des outils d'analyse blockchain doit vérifier que ses listes de filtrage ont été actualisées. Pour les VASP opérant sous des régimes AML alignés sur le FATF, le filtrage par rapport aux listes de sanctions et d'adresses à haut risque actualisées n'est pas discrétionnaire. Une transaction touchant une adresse liée au DPRK, même indirectement via un ou deux sauts, peut déclencher une obligation de déclaration d'activité suspecte (SAR) ou une obligation de divulgation équivalente selon la juridiction.
La réutilisation de l'infrastructure de blanchiment à travers les incidents du DPRK signifie également que certaines des adresses nouvellement signalées peuvent avoir des liens transactionnels historiques avec des contreparties que vos clients ont déjà intégrées. Un filtrage rétrospectif des relations de portefeuille existantes mérite d'être envisagé, en particulier pour toute contrepartie ayant transigé sur Bitget autour de la date de la faille.
Règle de voyage du FATF et diligence raisonnable sur les contreparties
Pour les VASP soumis à la règle de voyage du FATF, l'incident Bitget ajoute une dimension pratique à la diligence raisonnable sur les contreparties. Les transferts provenant ou ayant transité par les adresses de portefeuille chaud de Bitget dans la fenêtre autour du 24 septembre 2026 UTC peuvent avoir une provenance entachée. Les VASP récepteurs doivent évaluer si les portefeuilles bénéficiaires pour lesquels ils ont traité des paiements pourraient être liés aux grappes d'adresses signalées.
L'ampleur et la portée transjuridictionnelle du blanchiment, couvrant Ethereum, Arbitrum, XRP Ledger, Avalanche, BSC, Base et Optimism, signifient qu'aucun régulateur unique ne sera responsable de la réponse. Les entreprises opérant dans plusieurs juridictions doivent s'attendre à des enquêtes parallèles et être prêtes à produire des enregistrements au niveau des transactions sur toutes les chaînes concernées.
Pour plus de contexte sur la manière dont un événement de sécurité majeur d'un exchange se traduit en obligations de conformité et de reporting, consultez notre analyse antérieure des implications comptables et de conformité d'un piratage majeur d'exchange. Sur la menace plus large que représente le DPRK pour le secteur crypto, notre couverture des sanctions OFAC contre un réseau de fraude crypto impliquant des travailleurs IT du DPRK fournit un contexte supplémentaire sur la structure et les sanctions de ces opérations.
Implications comptables pour les entreprises et les directeurs financiers
Dépréciation et comptabilisation des pertes
Toute entité qui détenait des actifs sur Bitget au moment de la faille fait face à une question comptable immédiate : ces actifs sont-ils récupérables ? Selon les normes IFRS et US GAAP, les actifs numériques détenus sur un exchange sont généralement comptabilisés en fonction de la substance économique sous-jacente de l'accord. Lorsque la récupération dépend entièrement d'un fonds de protection discrétionnaire de l'exchange plutôt que d'un droit contractuel ou légal, les auditeurs doivent examiner attentivement la base justifiant le maintien de ces soldes à leur valeur nominale.
L'affirmation de Bitget selon laquelle le fonds de protection des utilisateurs couvre la totalité de la perte offre une certaine assurance, mais les équipes comptables doivent documenter la nature de ce fonds, y compris s'il représente une réserve ségréguée et cloisonnée ou simplement une réserve générale de l'exchange. Cette distinction détermine s'il convient de traiter la question comme une dépréciation, une créance ou un actif éventuel selon le référentiel applicable.
Obligations de divulgation
Pour les entités cotées ou soumises à des obligations de divulgation continue, une exposition significative à l'incident Bitget peut nécessiter une divulgation rapide. Le critère n'est pas de savoir si l'exchange a promis de rembourser les clients, mais si l'exposition est significative et s'il existe une incertitude quant à l'issue. Étant donné que les actifs volés n'ont pas été récupérés et que les fonds liés au DPRK ont historiquement un taux de récupération extrêmement faible, cette incertitude est bien réelle.
Logiciels de comptabilité des actifs numériques et pistes d'audit
Cet incident renforce la raison pour laquelle les entreprises utilisant des logiciels de comptabilité crypto ont besoin d'enregistrements complets et horodatés des transactions au niveau des portefeuilles et des réseaux, et pas seulement des soldes au niveau de l'exchange. Les soldes de portefeuilles chauds sur un exchange centralisé ne sont pas visibles pour les outils de comptabilité de portefeuille standard, à moins que l'entreprise ne suive également les adresses on-chain sous-jacentes. Les entreprises qui se sont appuyées uniquement sur les flux de soldes au niveau de l'API de Bitget peuvent faire face à des lacunes dans leur piste d'audit pour la période entourant la faille.
Un logiciel de comptabilité des actifs numériques qui ingère des données on-chain brutes, plutôt que des soldes déclarés par l'exchange, donnerait aux auditeurs un enregistrement vérifiable de ce qui se trouvait dans quel portefeuille et à quel moment, indépendamment de ce que déclare l'exchange. Cette architecture devient essentielle précisément dans des scénarios comme celui-ci.
Mesures pratiques pour les cabinets comptables et les directeurs financiers
Priorités immédiates
Premièrement, identifier toute exposition de client ou de fonds à Bitget au 24 septembre 2026. Cela inclut la garde directe sur l'exchange et toute contrepartie ayant acheminé des transactions via Bitget dans les jours entourant la faille. Deuxièmement, vérifier que votre fournisseur d'analyse blockchain a bien intégré les grappes d'adresses liées au DPRK actualisées issues de l'incident Bitget dans votre environnement de filtrage. Troisièmement, examiner si des portefeuilles de votre clientèle ont transactionné avec des adresses des grappes signalées, même indirectement. Un examen à deux sauts est un point de départ raisonnable ; un examen à trois sauts peut être requis selon votre appétit pour le risque et les orientations réglementaires.
Quatrièmement, évaluer si des expositions au bilan nécessitent une divulgation ou une comptabilisation de dépréciation selon le référentiel comptable applicable. Cinquièmement, documenter votre processus d'évaluation, y compris la date à laquelle vous avez mis à jour vos listes de filtrage et la base de toute conclusion selon laquelle les soldes restent récupérables. Cette documentation comptera si un régulateur ou un auditeur demande plus tard si vous avez agi rapidement.
Questions fréquemment posées
Comment l'attribution au DPRK est-elle établie dans les piratages crypto ?
L'attribution repose sur une combinaison d'indicateurs on-chain, tels que la réutilisation d'adresses de blanchiment spécifiques, de routes de bridge et de schémas de swap, et de renseignements off-chain, y compris les méthodes opérationnelles et le moment des opérations. Aucun indicateur unique n'est concluant, mais lorsque plusieurs schémas correspondent à ceux observés lors d'opérations antérieures confirmées du DPRK, le niveau de confiance analytique augmente considérablement. L'attribution officielle, lorsqu'elle survient, découle généralement d'enquêtes des forces de l'ordre.
Les entreprises ont-elles des obligations de déclaration SAR si leurs clients ont transigé via Bitget près de la date de la faille ?
Cela dépend de la juridiction et des faits spécifiques de la transaction. Dans la plupart des juridictions membres du FATF, un lien avec une adresse connue ou suspectée d'être liée au DPRK, même par un intermédiaire, peut déclencher une obligation de déclaration d'activité suspecte. Les entreprises doivent consulter leur cadre AML local et, en cas de doute, déclarer par précaution plutôt que d'attendre une attribution définitive.
Comment le fonds de protection des utilisateurs de Bitget doit-il être traité à des fins comptables ?
Jusqu'à ce que la nature et l'adéquation du fonds soient formellement confirmées, les entreprises doivent traiter tout solde exposé avec prudence. Le traitement approprié, qu'il s'agisse d'une créance, d'un actif éventuel ou d'une dépréciation, dépend de l'existence d'un droit contractuel à récupération et de la force exécutoire pratique de ce droit. Les auditeurs doivent demander la documentation de la structure et de la suffisance du fonds.
Pourquoi la technique de conversion en jeton natif est-elle importante pour les équipes de conformité ?
La conversion de stablecoins en jetons natifs de blockchain supprime une couche de capacité de gel : les émetteurs de stablecoins peuvent mettre sur liste noire des adresses de jetons spécifiques, mais une fois que les fonds passent en ETH, BNB ou actifs similaires, ce mécanisme ne s'applique plus. Cela rend le blanchiment plus difficile à interrompre et signifie que les équipes de conformité doivent suivre la trace on-chain à travers plusieurs types d'actifs plutôt que de compter sur des gels au niveau de l'émetteur.
Que nous dit l'infrastructure de blanchiment partagée sur l'approche opérationnelle du DPRK ?
La réutilisation de portefeuilles et de routes de bridge à travers des incidents distincts suggère que la rapidité de mouvement des fonds est priorisée par rapport à la sécurité opérationnelle. Cela crée également un schéma exploitable pour l'analyse blockchain, car les fonds nouvellement volés peuvent être liés relativement rapidement à des portefeuilles historiques du DPRK. Pour les équipes de conformité, cela signifie que les grappes d'adresses signalées lors d'incidents antérieurs du DPRK restent des indicateurs actifs à filtrer, même des années après le piratage initial.
Source : Elliptic