Bitget accuse la Corée du Nord d’un vol de 352 M$ et détaille l’enquête on‑chain

Bitget a confirmé hier une violation de sécurité qui a permis le vol de 351,6 millions de dollars, et son PDG, Gracy Chen, a immédiatement pointé la Corée du Nord comme auteur probable, s’appuyant sur des adresses IP correspondant à des services VPN associés à un groupe de hackers nord‑coréen. La plateforme a suspendu les retraits dès le jeudi 24 septembre 2026, invoquant une compromission de ses systèmes de portefeuille chaud et tiède (CoinTelegraph).

Bitget pointe la Corée du Nord comme responsable du vol de 352 M$

Lors d’une session de questions‑réponses en direct sur X, Gracy Chen a déclaré : « Nous avons identifié des adresses IP qui correspondent aux choix de VPN d’un certain groupe DPRK », soulignant que les similitudes avec des attaques précédentes attribuées à Pyongyang étaient frappantes. Elle a ajouté que l’enquête n’envisageait pas de scénario d’insider, excluant ainsi toute implication interne (CoinTelegraph).

Le même jour, le PDG a précisé que les pirates avaient exploité le système d’autorisation de signature des transferts, sans toutefois voler les clés privées des portefeuilles froids, chauds ou tièdes. Cette méthode, selon elle, « n’a pas forgé les demandes de retrait des utilisateurs », mais a permis de falsifier les informations de transfert au niveau du backend (CoinTelegraph).

Analyse on‑chain : trace d’XRP et de USDT vers un portefeuille lié à AFX EXPLOITER

L’on‑chain researcher connu sous le nom de Specter a publié une analyse indépendante montrant que certains des XRP volés avaient été convertis en 68 808 USDT, envoyés à une adresse Ethereum qui avait précédemment transféré des fonds vers un portefeuille étiqueté « AFX EXPLOITER ». Cette adresse était déjà liée à la perte de 24 millions de dollars subie par AFX en juillet, un incident que la société avait attribué à un groupe nommé TraderTraitor, réputé être lié à la Corée du Nord (CoinTelegraph).

Specter a souligné que le même portefeuille avait reçu des Ethereum avant d’envoyer les USDT, créant ainsi une chaîne de transactions qui renforce la thèse d’une opération coordonnée entre plusieurs groupes de hackers nord‑coréens. Le suivi de ces flux on‑chain constitue l’une des preuves les plus tangibles reliant le vol de Bitget aux acteurs déjà identifiés dans d’autres attaques (CoinTelegraph).

Le modèle d’attaque nord‑coréen : compromission du backend du service de portefeuille

Selon les déclarations de Gracy Chen, les assaillants ont pénétré le système backend du service de portefeuille de Bitget et ont manipulé le processus d’autorisation des transferts. Cette technique, qui ne requiert pas l’accès aux clés privées, permet de générer des instructions de retrait frauduleuses tout en laissant intacts les coffres froids et chauds, limitant ainsi la portée immédiate de la perte mais rendant la récupération plus complexe (CoinTelegraph).

Ce mode opératoire correspond aux schémas observés dans d’autres cyber‑attaques attribuées à la Corée du Nord, où les hackers privilégient la falsification de protocoles internes plutôt que le vol direct de clés cryptographiques. Cette approche rend la détection précoce difficile, car les logs de transaction peuvent sembler légitimes tant que les signatures d’autorisation ne sont pas minutieusement vérifiées.

Enquête en cours et premiers remboursements : quelques fonds récupérés

Gracy Chen a indiqué que, malgré la gravité de l’incident, une partie des fonds volés avait déjà été récupérée, sans préciser le montant exact. La plateforme collabore avec plusieurs fondations blockchain ainsi qu’avec des partenaires technologiques pour tracer et restituer les actifs, une démarche qui s’inscrit dans les protocoles de réponse aux incidents de grande ampleur (CoinTelegraph).

Les autorités américaines, notamment le FBI, ont déjà attribué à la Corée du Nord plus de 2,02 milliards de dollars de pertes crypto en 2025, ce qui suggère que les ressources de récupération mobilisées par Bitget bénéficient d’une expérience accumulée dans des affaires similaires. Le processus de récupération reste toutefois long, les acteurs impliqués devant suivre les pistes on‑chain jusqu’aux échanges de liquidité et aux services de mixage.

Historique des cyber‑attaques nord‑coréennes en crypto, 2025‑2026

En 2025, les hackers affiliés à Pyongyang ont été responsables d’un total estimé à 2,02 milliards de dollars de vols en cryptomonnaies, dont le piratage de Bybit d’une valeur d’environ 1,5 milliard de dollars, attribué par le FBI à la même structure. Ces opérations ont souvent utilisé des VPN et des services d’anonymisation pour masquer leurs origines, un facteur qui a été confirmé dans l’enquête préliminaire de Bitget (CoinTelegraph).

Le cas d’AFX, qui a perdu 24 millions de dollars en juillet, illustre également la continuité des tactiques : le groupe TraderTraitor, déjà soupçonné d’être lié à la Corée du Nord, aurait exploité des failles similaires dans les systèmes de signature de portefeuille. La répétition de ces schémas indique une évolution méthodologique visant à contourner les contrôles de sécurité traditionnels des exchanges (CoinTelegraph).

Implications pour la sécurité des exchanges et la confiance des investisseurs

La suspension immédiate des retraits par Bitget a entraîné une onde de choc parmi les utilisateurs, qui observent une volatilité accrue des jetons concernés sur les marchés spot. Bien que le prix du Bitcoin n’ait pas connu de variation majeure dans les 24 heures suivant l’annonce, le volume des transactions sur les plateformes de trading a augmenté de 12 % selon les données agrégées de plusieurs exchanges (CoinTelegraph).

Ce incident renforce la pression réglementaire sur les exchanges mondiaux pour qu’ils renforcent leurs protocoles de gestion des clés et leurs systèmes de surveillance des flux on‑chain. Les investisseurs, notamment ceux actifs sur les plateformes de trading à effet de levier, devront surveiller de près les annonces de récupération de fonds et les mesures de renforcement de la sécurité mises en place par Bitget et ses concurrents.