Bitget : une faille zero-day à l’origine d’un piratage de 387,5 millions de dollars

La plateforme d'échange de cryptomonnaies Bitget a déclaré que les attaquants ayant dérobé 387,5 millions de dollars dans ses portefeuilles chauds et tièdes ont pénétré le système via une vulnérabilité zero-day dans des produits de sécurité tiers. L'échange a cité les conclusions de l'enquête en cours menée par la société de sécurité blockchain SlowMist. Alors que les enquêteurs reconstituaient le déroulement de la brèche, les portefeuilles liés aux attaquants ont commencé à déplacer le Zcash ↗ 1.53% volé vers un pool de confidentialité, ce qui rendra les fonds plus difficiles à tracer.thehackernews+1

"Leur enquête a identifié une activité malveillante impliquant des produits de sécurité tiers, y compris une vulnérabilité zero-day, et a récupéré un outil personnalisé utilisé par l'attaquant pour initier des retraits non autorisés", a déclaré Bitget dans une publication sur X. L'échange a précisé que la faille a permis aux attaquants d'obtenir des identifiants internes de haut niveau. Ils ont ensuite utilisé ces identifiants pour envoyer des ordres de retrait frauduleux contournant ses contrôles de risque. Bitget a notifié le fournisseur et désactivé la fonctionnalité affectée jusqu'à ce qu'un correctif soit prêt.infosecurity-magazine+1

Une intrusion d'un mois

SlowMist a retracé l'activité malveillante la plus ancienne au 31 août 2026, lorsqu'une faille zero-day a affecté un service sur un nœud d'un produit qu'elle appelle "Produit A". L'attaquant a exécuté un script caché pour lire un mot de passe de base de données et se connecter à celle-ci. Une activité similaire est apparue sur deux autres nœuds les 23 et 25 septembre. Le 25 septembre, l'attaquant a également utilisé l'identité d'un employé interne pour tenter d'injecter des commandes dans la plateforme de gestion d'un second produit. Un outil personnalisé construit autour de la logique de retrait de Bitget a commencé à drainer les fonds à 1h49 le 25 septembre, selon SlowMist.thehackernews

Mandiant, une unité d'Alphabet ↗ 1.62%, a découvert séparément que les attaquants avaient placé un web shell sur l'un des équipements de sécurité. De là, ils "se sont déplacés latéralement vers le serveur de travail des portefeuilles de production de Bitget et ont déployé des paquets malveillants".thehackernews

Le vol a touché 11 blockchains, dont Ethereum ↗ 0.35%, XRP Ledger, TRON et BNB Smart Chain. Les actifs volés incluent du XRP ↗ 0.95%, de l'ETH, de l'USDT et de l'USDC. Circle ↘ 2.00%, Tether et NEAR Intents ont gelé environ 632 700 dollars jusqu'à présent. Bitget a d'abord estimé ses pertes à 351,6 millions de dollars, puis a revu ce chiffre à la hausse. L'échange affirme qu'il couvrira les pertes des utilisateurs via son Fonds de protection des utilisateurs.silicon+2

Les fonds se déplacent vers Zcash

Le mercredi 30 septembre, 2 746 ZEC d'une valeur d'environ 3,9 millions de dollars sont entrés dans Ironwood, le nouveau pool protégé de Zcash, en trois transferts, selon l'analyse de CoinDesk. Les pièces sont passées par deux adresses intermédiaires financées par un portefeuille que Bitget a identifié comme étant celui de l'attaquant. Ce portefeuille a reçu près de 18 917 ZEC pendant la brèche. Une fois les fonds dans le pool, les expéditeurs, les destinataires et les montants sont masqués. Les enquêteurs pourraient encore être en mesure de lier les pièces par le timing et les montants lorsqu'elles ressortiront vers des adresses publiques.coindesk

La Corée du Nord suspectée

"Sur la base des modèles de comportement IP et de l'analyse on-chain, la méthode d'attaque dans cet incident est hautement cohérente avec les modèles connus des organisations de hackers nord-coréennes", a déclaré la directrice générale de Bitget, Gracy Chen. Elliptic et TRM Labs ont trouvé des recoupements avec des portefeuilles utilisés pour blanchir de l'argent provenant de piratages antérieurs. TRM Labs l'a qualifié de plus grand piratage crypto de 2026.silicon+1

Bitget a redémarré les retraits de Bitcoin ↗ 0.59% le 28 septembre. Il prévoit de rétablir les services fiat et peer-to-peer d'ici le 2 octobre.airdropalert+1