Bitget n’arrête pas 290 millions de dollars de transferts malgré l’alerte

Bitget a détecté des transferts non autorisés depuis des portefeuilles à 18 h 31 UTC le 24 septembre, environ 30 minutes avant que les attaquants ne commencent à déplacer des centaines de millions de dollars. La reconstitution d’Hypernative montre que 87,6 millions de dollars ont quitté les portefeuilles chauds à 19 h 01, puis 202,8 millions de dollars les portefeuilles tièdes à 19 h 16. Les deux vagues n’ont duré que 24 secondes et représentent environ les trois quarts des 387,5 millions de dollars que Bitget dit avoir été envoyés vers des adresses contrôlées par les attaquants.

Pourquoi c’est important

Le calendrier des transferts place la réaction de la plateforme sous le feu des critiques. Bitget a indiqué que son équipe de sécurité avait déclenché des protocoles d’urgence après l’alerte, mais que les transferts liés aux attaquants s’étaient poursuivis jusqu’à 21 h 23 UTC, près de trois heures après l’heure de détection annoncée. La question centrale est de savoir pourquoi le mécanisme de signature compromis est resté opérationnel après le premier avertissement.

Bitget a déclaré qu’un attaquant avait compromis un système backend de son infrastructure de portefeuille, falsifié les données de retrait et trompé son processus d’autorisation pour faire approuver les transferts. L’entreprise affirme que les clés privées n’ont pas été compromises. Selon Hypernative, les transactions ont été signées par les propres portefeuilles de Bitget et ressemblaient fortement à des retraits ordinaires de clients.

Impact sur le marché

L’attaque a débuté par de petits transferts de test de 0,84 ETH et 93 TRX à 18 h 31. Environ 28 minutes plus tard, l’attaquant a transféré 34,75 millions de dollars en USDT, avant d’accélérer le siphonnage sur plusieurs blockchains. Hypernative a relevé plusieurs mesures de protection possibles : vérifier de manière indépendante que les transferts signés correspondent aux retraits approuvés, signaler les paramètres de transaction inhabituels, fixer des limites de vitesse selon le niveau des portefeuilles et suspendre automatiquement les signataires présentant des anomalies.

Bitget a déclaré avoir corrigé la vulnérabilité et qu’aucun autre transfert non autorisé n’avait eu lieu après le confinement de l’incident. Mandiant et SlowMist participent toujours à l’enquête forensique. Pour les plateformes d’échange et leurs clients, cet incident souligne l’importance de contrôles capables de bloquer automatiquement les signatures lorsque les systèmes internes détectent une activité suspecte.