La bourse de crypto-monnaies Bitget a perdu 351,6 millions de dollars après que des attaquants aient exploité un système backend compromis pour contrefaire les données des transactions et déclencher le processus d'autorisation de la plateforme, a confirmé le PDG Gracy Chen. La société a exclu une compromission de la clé privée.
Chen a écrit sur X que l'attaquant "a utilisé [le backend compromis] pour falsifier les données de transaction" et a "activé notre processus d'autorisation pour faire sortir des fonds". Elle a ajouté que "le compromis de la clé privée a été écarté" - une distinction qui permet de distinguer ce incident de plusieurs des plus grandes pertes de l'industrie, qui ont généralement impliqué la détente de clés privées.
Chaque portefeuille cryptographique utilise deux clés : une clé publique, qui fonctionne comme un numéro de compte bancaire pour recevoir des fonds, et une clé privée, qui sert de credential secrète requise pour autoriser les dépenses. Si une clé privée est copiée, un attaquant peut signer et exécuter continuellement des transferts. Chen a comparé cette cyberattaque à la fuite de décharges de retrait falsifiées par la fenêtre d'un guichet bancaire : les clés du coffre-fort n'ont jamais quitté le bâtiment, mais quelqu'un a eu accès au bureau où l'on prépare les documents et les a acheminés par le même canal d'approbation.
La faille a été découverte lorsque les systèmes de Bitget ont détecté des transferts non autorisés depuis des wallets chauds à 18 h 31 UTC le 24 septembre. Un wallet chaud reste connecté à Internet pour permettre le traitement rapide des transactions. Chen a confirmé que l'attaque avait également atteint le niveau des wallets chauds, un tampon semi-connecté qui recharge les wallets chauds et retire les dépôts en trop hors ligne pour limiter l'exposition. Les wallets froids hors ligne de Bitget, cependant, « restent entièrement sécurisés », a-t-elle déclaré.
La société a cessé tout transfert non autorisé supplémentaire. « La limitation des pertes est confirmée. Aucun autre transfert non autorisé n'est possible », a écrit Chen, ajoutant que la méthode spécifique d'intrusion dans le système fait encore l'objet d'une investigation active et qu'un rapport technique complet sera publié une fois que ce fait sera confirmé.
Bitget a déclaré que le Fonds de protection des utilisateurs, qui détient plus de 464 millions de dollars, couvrirait les pertes intégrales. « Les fonds des utilisateurs sont en sécurité », a écrit Chen. « Les soldes de vos comptes sont exacts et vos actifs sont protégés. »
Les dépôts et les transactions restent ouverts, mais les retraits ont été suspendus dans l'attente d'un examen de sécurité. Aucun calendrier n'a été donné pour leur reprise. "Plusieurs équipes techniques travaillent en parallèle sur la réparation du système et le renforcement de la sécurité", a déclaré Chen. "Nous annoncerons un calendrier dès qu'il sera confirmé - nous ne nous engageons pas à respecter une période pour laquelle nous ne pouvons pas garantir".
