La PDG de Bitget, Gracy Chen, a déclaré que l’attaquant avait effectué deux petits transferts non autorisés environ 30 minutes avant le piratage de 388 millions de dollars de la plateforme. Le 24 septembre à 18 h 31 UTC, 0,184 ETH et 193 TRX ont été transférés depuis des portefeuilles chauds sans déclencher d’alerte, car les deux opérations étaient sous les seuils des contrôles de risque.
Pourquoi c’est important
L’attaquant a ensuite exploité une vulnérabilité zero-day dans un produit de sécurité tiers pour accéder à un système de gestion interne et insérer des ordres de retrait frauduleux dans les systèmes backend liés aux portefeuilles. Selon Chen, ces ordres semblaient légitimes et l’attaquant en a effacé les traces, ce qui complique l’enquête. Bitget affirme que ses clés privées et ses portefeuilles froids n’ont pas été compromis.
L’attaque a donné lieu à 17 transactions sur Ethereum, XRP, Zcash, BNB Chain, Base, Arbitrum, Optimism et Avalanche. Ces transferts ont totalisé environ 361 millions de dollars entre 18 h 58 et 20 h 09, tandis que le montant total du vol a été évalué à 388 millions de dollars. Le système de rapprochement de Bitget a détecté un écart dans les sept minutes suivant le premier transfert important, puis la plateforme a bloqué les retraits initiés par les utilisateurs sur l’ensemble de ses services.
Impact sur le marché
Bitget indique que son fonds de protection des utilisateurs, évalué à 465 millions de dollars au 25 septembre, couvrira la perte. Chen a déclaré que la plateforme comptait reconstituer le fonds à hauteur d’au moins 300 millions de dollars en une semaine, grâce à ses réserves d’entreprise, qui dépassaient 1,4 milliard de dollars lors d’un audit réalisé le 31 août. Elle a qualifié l’incident de grave, mais non de menace existentielle.
Les retraits de BTC ont repris lundi, avec plus de 3 000 BTC traités durant la première heure. La reprise des retraits d’ETH était prévue pour le 29 septembre. Bitget mène l’enquête avec Mandiant et SlowMist et prévoit de publier un rapport officiel sur l’incident cette semaine.
Questions fréquemment posées
-
Comment l’attaquant a-t-il testé les contrôles de risque de Bitget ?
L’attaquant a transféré 0,184 ETH et 193 TRX depuis des portefeuilles chauds. Les deux opérations étaient sous le seuil des contrôles de risque de la plateforme et n’ont déclenché aucune alerte.
-
Comment l’attaquant a-t-il accédé aux systèmes backend de Bitget ?
La PDG Gracy Chen a déclaré que l’attaquant avait exploité une vulnérabilité zero-day dans un produit de sécurité tiers pour accéder à un système de gestion interne et y insérer des ordres de retrait frauduleux.
-
Dans quel délai Bitget a-t-il détecté les transferts importants ?
Le système de rapprochement de Bitget a détecté un écart important dans les sept minutes suivant le premier transfert conséquent. La plateforme a ensuite bloqué les retraits initiés par les utilisateurs sur l’ensemble de ses services.
-
Qu’est-ce qui couvrira la perte annoncée de 388 millions de dollars ?
Bitget affirme que son fonds de protection des utilisateurs, évalué à 465 millions de dollars au 25 septembre, couvrira la perte. Chen a déclaré que la plateforme comptait le reconstituer à hauteur d’au moins 300 millions de dollars en une semaine.
-
Quels retraits ont repris après le piratage ?
Les retraits de BTC ont repris lundi, avec plus de 3 000 BTC traités durant la première heure. La reprise des retraits d’ETH était prévue pour le 29 septembre.
CryptoSlate
WuBlockchain
Crypto News
CoinDesk
Crypto Rank News
Lookonchain
CoinTelegraph