Piratage de Bitget : le vol attribué à la RPDC dépasse 1 milliard de dollars en 2026

Un seul incident sur une plateforme d'échange a changé la donne en matière de risque pour toutes les équipes financières qui détiennent des actifs numériques sur une plateforme centralisée. Bitget a perdu plus de 350 millions de dollars lors de transferts non autorisés depuis ses portefeuilles chauds et tièdes, et la société d'analyse blockchain Elliptic indique que de multiples indicateurs pointent vers la République populaire démocratique de Corée (RPDC). Pour les équipes qui s'appuient sur un logiciel de comptabilité crypto pour suivre les soldes, les contreparties et les pertes, la question pratique est simple : pourriez-vous déterminer, en quelques heures, si vous étiez exposé ?

Cet article expose ce qui a été rapporté, ce qui reste non confirmé et ce que l'incident implique pour les flux de travail comptables, fiscaux et LBC/FT. Il est rédigé à l'intention des cabinets comptables, des auditeurs et des directeurs financiers, avec des notes pour les déclarants particuliers lorsque leur situation diffère.

Ce qui s'est passé chez Bitget

L'incident et la chronologie

Selon Elliptic, Bitget a détecté des transferts non autorisés depuis son infrastructure de portefeuilles chauds et tièdes vers 18h31 UTC le 24 septembre 2026. Les actifs concernés étaient variés : ETH, XRP, BNB, AVAX, USDT et USDC ont été cités, circulant sur les réseaux Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base. Bitget a indiqué que le stockage à froid n'était pas affecté et a suspendu les retraits par précaution.

La dispersion des actifs et des chaînes compte pour quiconque effectue un travail de rapprochement. Une perte qui touche six ou sept réseaux et plusieurs types de jetons ne se résume pas à un portefeuille à signaler. C'est un ensemble d'adresses réparties sur de nombreux registres, et toute analyse d'exposition doit les couvrir toutes.

Comment les attaquants sont entrés, selon la plateforme

La directrice générale de Bitget, Gracy Chen, a déclaré que l'incident n'impliquait pas de compromission de clé privée. Selon sa description, les attaquants ont compromis un système dorsal au sein de l'infrastructure du portefeuille et l'ont utilisé pour falsifier des données de transaction. Elle a également indiqué que l'attaque était cohérente avec les techniques employées par des groupes de pirates liés à la RPDC et, lors d'un point presse ultérieur, a décrit l'auteur comme probablement un groupe nord-coréen.

Une mise en garde mérite d'être soulignée. Elliptic note que la base technique propre à la plateforme pour cette attribution n'a pas encore été publiée. L'attribution est donc une évaluation de travail solide, fondée sur des indicateurs on-chain et off-chain, et non une conclusion formelle d'un gouvernement ou d'un tribunal. Les équipes financières doivent la consigner comme suspectée et éviter toute formulation, dans leur documentation, qui la présenterait comme établie.

La réponse annoncée par Bitget

Bitget a déclaré que son Fonds de protection des utilisateurs couvre intégralement la perte. Il s'agit d'une déclaration de la plateforme, et la source ne détaille ni la taille du fonds ni les modalités et le calendrier d'indemnisation des clients. Pour quiconque détient des soldes sur la plateforme, la couverture annoncée est pertinente pour les informations à fournir et pour toute appréciation de provision, mais elle ne vaut pas récupération confirmée. Elle doit être traitée comme une allégation à vérifier au fur et à mesure de l'évolution des communications de la plateforme.

Pourquoi les analystes relient l'attaque à la Corée du Nord

Liens on-chain avec des exploits antérieurs

Elliptic rapporte que des liens ont été observés entre des XRP issus de l'exploit Bitget et des ETH provenant d'un exploit antérieur attribué à la RPDC. La société a également constaté des liens entre les fonds volés à Bitget et des adresses utilisées pour blanchir des vols antérieurs attribués à la RPDC, dont un en 2025. Selon l'analyse d'Elliptic, l'infrastructure de blanchiment partagée entre les incidents est une caractéristique récurrente du blanchiment de la RPDC, les blanchisseurs privilégiant la rapidité sur la discipline opérationnelle.

Un comportement de blanchiment cohérent avec les affaires passées

Les fonds volés ont été rapidement convertis depuis des stablecoins et d'autres jetons non natifs vers l'actif natif de chaque chaîne, une technique qu'Elliptic décrit comme cohérente avec le blanchiment de la RPDC. L'unique exception va dans le même sens : les actifs sur Arbitrum ont été rapidement transférés entre chaînes vers Ethereum, ce qui, selon Elliptic, pourrait refléter des enseignements tirés du blanchiment de KelpDAO, où le Conseil de sécurité d'Arbitrum a agi pour geler 30 766 ETH.

Pour une équipe de conformité, ce détail rappelle que les gels comptent parmi les rares contre-mesures efficaces et que les attaquants s'y adaptent. La rapidité de détection importe car la fenêtre pendant laquelle les fonds peuvent être gelés est courte.

Les totaux de 2026 en perspective

Elliptic indique que l'incident serait le plus important vol d'actifs crypto unique attribué à la Corée du Nord en 2026, une année au cours de laquelle la société a déjà suivi plus de 51 incidents liés à la RPDC. Son total suivi des vols attribués à la RPDC pour l'année dépasse désormais 1 milliard de dollars. La source énumère également les piratages majeurs de plateformes centralisées et de ponts de ces dernières années, finalement attribués à des acteurs liés à la RPDC, résumés ci-dessous.

Le schéma est le message. L'attribution à des acteurs liés à la RPDC a suivi la plupart des incidents majeurs de plateformes centralisées et de ponts, si bien qu'il n'est plus défendable de traiter ce type d'événement comme rare dans les modèles de risque.

Ce que cela implique pour les équipes comptables et d'audit

Cartographie de l'exposition et registres de contreparties

La première tâche après tout incident sur une plateforme est de savoir qui détient quoi, et où. Les cabinets qui conservent les soldes de plateforme dans des tableurs, ou dans des exports séparés non rapprochés, peinent à répondre rapidement à cette question. Un bon logiciel de comptabilité d'actifs numériques permet d'étiqueter chaque solde par dépositaire, portefeuille, chaîne et actif, afin qu'un événement au niveau d'une plateforme puisse être filtré en minutes plutôt qu'en jours.

En pratique, cela signifie pouvoir indiquer, pour toute date, le montant détenu sur une plateforme donnée, la proportion conservée en dépôt par rapport aux portefeuilles autodétenus, et les clients ou entités qui en sont propriétaires. Pour un cabinet comptable servant plusieurs clients, la même vue par client est indispensable. Notre article précédent sur l'identification de l'exposition après un piratage de plateforme détaille la même approche à propos d'un autre incident.

Comptabiliser une perte, une créance ou un passif éventuel

Qu'un piratage engendre ou non une perte comptable pour un client dépend de faits que la source ne tranche pas : la relation contractuelle avec la plateforme, l'existence ou non d'une créance du client sur la plateforme, et les modalités et le calendrier de toute indemnisation. La déclaration de Bitget selon laquelle son fonds de protection couvre la perte est pertinente, mais une intention annoncée ne constitue pas une récupération établie.

La discipline raisonnable consiste à documenter les faits à la date de clôture, à évaluer si le solde reste recouvrable auprès de la plateforme et à appliquer le référentiel selon lequel l'entité établit ses comptes pour choisir entre maintien de la comptabilisation, dépréciation, créance ou passif éventuel à mentionner. Ces référentiels variant selon la juridiction et le type d'entité, les cabinets doivent convenir du traitement avec l'associé responsable de la mission et, le cas échéant, avec l'auditeur, et conserver une piste d'audit claire indiquant ce qui était connu et quand.

Éléments probants d'audit et événements postérieurs

Pour les auditeurs, un incident proche d'une clôture annuelle ou intermédiaire peut constituer un événement postérieur ou une condition à évaluer à la date du bilan. Parmi les éléments probants à demander figurent les relevés de la plateforme, les avis de suspension des retraits, une confirmation écrite de la couverture par le fonds de protection et des rapprochements au niveau des portefeuilles avant et après la date de l'incident. Un système qui conserve les soldes historiques avec horodatage facilite grandement la production de ces éléments.

Implications en matière de conformité et de LBC/FT

Filtrage par rapport aux adresses nouvellement désignées

Elliptic indique avoir mis à jour d'urgence ses jeux de données pour refléter les adresses liées à l'incident et que ses clients peuvent désormais procéder au filtrage sur celles-ci. La leçon plus large, valable quel que soit le prestataire de filtrage utilisé par un cabinet, est que les listes d'adresses évoluent vite après un incident. Les équipes doivent vérifier la rapidité de mise à jour de leurs sources de filtrage et de surveillance, ainsi que la personne chargée d'examiner les nouvelles désignations.

Lorsque votre cabinet ou votre client reçoit des fonds, même indirectement, un transfert provenant d'une adresse liée à un vol présumé d'origine étatique constitue un événement à haut risque. Les procédures doivent préciser la suite : blocage, escalade, documentation de la justification et décision quant à l'obligation de déposer une déclaration d'activité suspecte ou une déclaration équivalente selon les règles locales.

Sanctions et risque de réputation

L'activité liée à la RPDC est un domaine sensible au regard des sanctions. Même lorsque l'attribution reste suspectée plutôt que confirmée, la voie prudente consiste à appliquer une vigilance renforcée à tout flux touchant des adresses liées à l'incident et à conserver des traces contemporaines des vérifications effectuées. Notre couverture connexe de l'attaque de Bitget et du seuil du milliard de dollars attribué à la RPDC détaille davantage l'angle LBC/FT.

Pourquoi une infrastructure de blanchiment partagée aide les enquêteurs

La réutilisation d'une infrastructure de blanchiment entre incidents est, selon Elliptic, le signe que les blanchisseurs privilégient la rapidité sur la discipline. Cela est utile aux enquêteurs, car les affaires antérieures fournissent une carte des filières probables d'encaissement. Cela est aussi utile aux équipes de conformité, car des règles de filtrage fondées sur des incidents antérieurs peuvent capter une partie du nouveau flux.

Prochaines étapes concrètes pour les cabinets et les déclarants particuliers

Pour les cabinets comptables, les auditeurs et les directeurs financiers

• Produire un rapport d'exposition par plateforme : soldes par plateforme, chaîne et actif, pour chaque client ou entité.
• Vérifier si des soldes se trouvent sur Bitget et consigner la date et le statut de la suspension des retraits.
• Obtenir et archiver les communications écrites de la plateforme concernant le fonds de protection et tout processus d'indemnisation.
• Examiner les sources de filtrage et mettre à jour les procédures pour les adresses nouvellement désignées.
• Convenir et documenter le traitement comptable avec l'associé responsable de la mission avant la prochaine date de clôture.
• Mettre à jour le registre des risques : la concentration de contrepartie sur un seul dépositaire est désormais une exposition avérée et récurrente.

Les équipes qui travaillent sur des cadres de gestion des risques plus larges pourront également trouver dans nos recommandations sur le reporting de conformité crypto un point de référence utile pour structurer ces contrôles.

Pour les déclarants particuliers

Si vous détenez des cryptomonnaies sur Bitget, ne vous précipitez pas pour déclarer quoi que ce soit ni pour enregistrer une perte. La plateforme affirme que son fonds couvre le manque à gagner, ce qui compte pour savoir si vous avez réellement subi une perte. Conservez des captures d'écran de votre solde, les courriels de la plateforme et votre historique de transactions. Les règles fiscales relatives aux vols et aux pertes varient selon les pays, et beaucoup traitent différemment les soldes non réalisés ou recouvrables et les pertes réalisées : consultez un conseiller fiscal avant toute déclaration. Un export propre depuis votre outil de comptabilité vous fera gagner du temps quel que soit le résultat.

Ce qu'il faut surveiller ensuite

Trois points restent en suspens dans la source : la base technique de la plateforme pour attribuer l'attaque à un groupe nord-coréen, les détails et le calendrier de toute indemnisation au titre du Fonds de protection des utilisateurs, et toute déclaration officielle d'un gouvernement. Chacun peut modifier la position comptable et LBC/FT : fixez donc une date de revue et rouvrez le dossier dès que l'un d'eux évolue.

Choisir des outils capables de gérer un événement au niveau d'une plateforme

Ce que doit faire un bon logiciel de tenue de comptes crypto

Un incident comme celui-ci met à l'épreuve la tenue des registres. Un bon logiciel de tenue de comptes crypto doit préserver un historique des soldes par plateforme, relier chaque transaction à un portefeuille et à une chaîne, tenir une piste d'audit inaltérable et exporter les éléments probants sous une forme acceptable par un auditeur. L'objectif n'est pas de prédire le prochain piratage, mais de réduire le délai entre une alerte et une réponse défendable.

Relier les outils à la politique interne

Un logiciel n'aide que si la politique qui le sous-tend est claire. Décidez à l'avance qui enquête sur une alerte, qui approuve une décision de traitement comptable et dans quel délai le client est informé. Consigner ces responsabilités dès maintenant signifie que le prochain incident, que le rythme de 51 événements liés à la RPDC ou plus cette année rend plausible, sera géré avec une liste de contrôle et non dans l'improvisation.

FAQ

La Corée du Nord a-t-elle été confirmée comme responsable de l'attaque de Bitget ?

Pas officiellement. Elliptic indique que de multiples indicateurs pointent vers la RPDC, et la directrice générale de Bitget a déclaré que l'attaque était cohérente avec les techniques liées à la RPDC et que l'auteur était probablement un groupe nord-coréen. La base technique propre à la plateforme n'a pas encore été publiée, l'attribution doit donc être consignée comme suspectée.

Quel montant a été volé et quels actifs ont été touchés ?

Elliptic rapporte plus de 350 millions de dollars de transferts non autorisés depuis des portefeuilles chauds et tièdes. Les actifs cités incluent ETH, XRP, BNB, AVAX, USDT et USDC, sur les réseaux Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base. Le stockage à froid n'a pas été affecté selon les informations disponibles.

Le fonds de protection signifie-t-il que les clients n'ont aucune perte à enregistrer ?

Bitget affirme que son Fonds de protection des utilisateurs couvre intégralement la perte, mais il s'agit d'une déclaration de la plateforme. Qu'un client ait une perte comptable, une créance ou un passif éventuel dépend de la position contractuelle et de la manière dont la récupération se déroule réellement, le traitement doit donc être convenu avec votre conseiller ou votre auditeur.

Comment un logiciel de comptabilité crypto peut-il aider après un piratage de plateforme ?

Il permet de filtrer les soldes par dépositaire, portefeuille, chaîne et actif pour évaluer rapidement l'exposition, préserve un historique horodaté comme élément probant d'audit et fournit une piste d'audit pour toute décision de traitement. Il ne remplace pas le jugement professionnel en matière de comptabilisation ni d'escalade LBC/FT.

Que doivent faire les équipes de conformité face aux adresses nouvellement liées ?

Confirmer que votre prestataire de filtrage a chargé les nouvelles désignations, examiner les flux entrants et sortants récents au regard de celles-ci et escalader tout résultat positif selon vos procédures. Conservez des traces datées des vérifications, l'attribution étant encore en cours d'évolution.

Source : Elliptic