Le pirate de Bitget transfère 6,3 millions de dollars en Bitcoin après que THORChain a rejeté la demande de gel

Un portefeuille lié au pirate de Bitget a échangé environ 6,3 millions de dollars d’ETH contre du Bitcoin via THORChain, après que le réseau eut rejeté la demande de l’échange de bloquer les adresses liées à sa faille du 24 septembre.

Résumé

• Le portefeuille a effectué 27 échanges, convertissant environ 2 390 ETH en 75,2 BTC.

• Bitget avait demandé à THORChain de refuser les transactions provenant des adresses qu’elle identifiait comme appartenant à l’attaquant.

• THORChain a indiqué que ses dispositifs d’urgence peuvent interrompre l’activité du réseau, mais ne permettent pas de geler un échange individuel.

• Bitget a relevé son estimation des actifs transférés vers des adresses contrôlées par l’attaquant à 387,5 millions de dollars.

Selon l’analyse de CoinDesk des registres de transactions THORChain, les 27 échanges réalisés ont envoyé l’intégralité des 75,2 BTC vers une seule adresse destinataire. Les ordres provenaient d’un portefeuille Ethereum que le traqueur blockchain Lookonchain avait identifié comme participant à l’activité de l’attaquant. Quatre autres transactions impliquant au total 400 ETH étaient en attente lors de l’analyse de CoinDesk.

Portefeuille lié à Bitget : conversion d’ETH en 27 échanges

Soumis entre approximativement 03h55 et 06h23 UTC lundi, la plupart des ordres impliquaient environ 100 ETH chacun. CoinDesk a évalué chaque lot à environ 265 000 $ aux cours utilisés dans son analyse. Les transactions réalisées ont échangé environ 2 390 ETH contre 75,2 BTC ; les 400 ETH en attente étaient distincts de ce total.

Les registres révèlent également des limites sur ce que le portefeuille pouvait échanger aux prix choisis. Deux ordres de 100 ETH n’ont été que partiellement exécutés, car certaines parties n’ont pas atteint le prix minimum fixé pour l’échange. Environ 114 ETH ont été renvoyés au portefeuille émetteur, selon l’analyse de CoinDesk.

Vous aimerez peut-être aussi : Bitget rétablit les retraits en BTC après le piratage de 388 M$

THORChain permet à un utilisateur d’échanger des actifs détenus sur différentes blockchains sans passer par une bourse centralisée. Dans les transactions de lundi, de l’ETH est entré dans le réseau d’échange et du BTC a été envoyé à une adresse sur le réseau Bitcoin. Les deux côtés du transfert restent visibles sur les blockchains publiques, permettant aux enquêteurs de suivre les mouvements enregistrés, même si les actifs ont changé de chaîne.

Un autre chemin avait déjà transféré du Bitcoin lié à Bitget vers une transaction de confidentialité. Le 27 septembre, la société de conformité blockchain AMLBot a suivi environ 4 BTC vers un round Wasabi CoinJoin, après que les fonds eurent circulé depuis TRON vers Ethereum, puis via THORChain. AMLBot a indiqué que son traçage liait ce Bitcoin à un portefeuille TRON associé à Bitget. CoinJoin combine les entrées et sorties de plusieurs utilisateurs dans une seule transaction, rendant plus difficile l’établissement d’un lien direct entre elles.

THORChain affirme qu’un arrêt ne peut cibler une seule adresse

Gracy Chen, PDG de Bitget, a demandé à THORChain, durant le week-end, de refuser tout service aux adresses publiées et suivies par l’échange. Dans son message publié sur X, elle a soutenu que le réseau devrait agir sur les fonds identifiés :

« La décentralisation est un principe de conception, pas un bouclier facilitant la circulation de fonds volés avérés. »

THORChain a rejeté la demande de blocage spécifique à une adresse. Dans sa réponse publique, l’équipe a déclaré qu’un arrêt du réseau est un outil d’urgence destiné à protéger le protocole et « ne constitue pas un gel sélectif de fonds spécifiques ni un échange individuel ». Selon l’équipe, ses mécanismes peuvent interrompre les échanges sur l’ensemble du réseau ou restreindre les activités sur une blockchain connectée, mais toute action de ce type perturberait également les transactions d’autres utilisateurs.

La société de sécurité GoPlus conteste la version de THORChain concernant ses contrôles disponibles. Comme rapporté le 27 septembre, la société a évoqué les votes des validateurs, les contrôles de signature et les pauses spécifiques à chaque chaîne décrites dans la documentation de THORChain. GoPlus affirme que ces mécanismes offrent aux opérateurs de nœuds des moyens d’intervenir lorsque des fonds sont en danger. THORChain maintient que son arrêt d’urgence protège le réseau lui-même et ne sert pas de liste noire pour des portefeuilles particuliers.

Le réseau a activé ses contrôles d’urgence après qu’un attaquant eut subtilisé environ 10,7 millions de dollars depuis une réserve THORChain en mai. Les opérateurs ont suspendu les activités pendant que les développeurs corrigeaient la vulnérabilité ; les échanges ont repris en juin, après environ cinq semaines. THORChain a précisé que les adresses de l’attaquant de mai n’avaient pas fait l’objet d’un bannissement individuel.

Bitget révise à la hausse l’estimation de la faille et propose des récompenses pour la récupération

Bitget avait initialement évalué à environ 351,6 millions de dollars les actifs affectés par la faille du 24 septembre. Après avoir intégré les actifs Zcash et TRON omis dans son calcul initial, l’échange a relevé à environ 387,5 millions de dollars la valeur transférée vers des adresses contrôlées par l’attaquant. Bitget précise que cette augmentation résulte d’un examen plus complet de l’incident initial, et non d’un vol supplémentaire post-faille.

L’échange a détecté des transferts non autorisés à 18h31 UTC le 24 septembre et a suspendu les retraits pendant son enquête. Bitget a indiqué que ses portefeuilles froids restaient sécurisés. Une mise à jour ultérieure a annoncé que les enquêteurs avaient identifié et corrigé la vulnérabilité, tandis que Mandiant et SlowMist assistaient l’enquête et les vérifications de sécurité. Bitget n’a pas publié de compte rendu public complet expliquant comment l’attaquant a pénétré ses systèmes.

Chen a ensuite annoncé un programme de prime à la récupération, avec des récompenses distinctes de 5 % pour les actions éligibles permettant de geler ou de récupérer les actifs volés. Bitget a publié les adresses principales de l’attaquant sur les réseaux compatibles Ethereum, le registre XRP, Zcash et TRON, ainsi qu’un tableau de bord de traçage pour suivre leurs déplacements ultérieurs. L’échange a précisé qu’il évaluerait l’éligibilité et les paiements selon la contribution de chaque participant ; les travaux effectués sous ordonnance judiciaire ou demande des forces de l’ordre ne donnent pas droit à la prime.

Pour les lecteurs américains, l’effort de récupération implique Circle, émetteur américain de l’USDC. Bitget a indiqué que Circle avait gelé 99 990 USDC liés à l’attaque, tandis que Tether avait gelé 218 023 USDT. Ces gelages de jetons concernaient des soldes de stablecoins identifiés ; la réponse de THORChain portait sur la demande distincte de Bitget visant à suspendre les échanges ETH-BTC. Bitget a également évoqué un développement futur aux États-Unis : Chen avait déclaré en juillet que l’échange chercherait les licences et approbations nécessaires avant d’offrir ses services aux Américains.

Les retraits en bitcoin ouvrent la réouverture progressive de Bitget

Bitget a établi un calendrier progressif de réouverture des retraits après les vérifications de sécurité. Selon ce calendrier publié, les retraits en bitcoin sur le réseau Bitcoin devaient reprendre à 08h00 UTC le 28 septembre. Les retraits en ETH sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism étaient prévus à la même heure le 29 septembre.

Le calendrier prévoyait les retraits en USDT sur Ethereum, BNB Smart Chain, Solana et TRON à 08h00 UTC le 30 septembre. Bitget a attribué les autres jetons, les services en monnaie fiduciaire et les transactions peer-to-peer à une dernière phase prévue pour le 2 octobre. L’échange a demandé à ses clients de consulter ses annonces officielles pour confirmer la disponibilité de chaque service.

En savoir plus : Fondation Cardano et UCLA s’associent pour l’éducation blockchain