Bitget confirme une faille zero-day de tiers derrière le vol de 387,5 millions de dollars

Le 24 septembre 2026, la plateforme Bitget a annoncé le vol de 387,5 millions de dollars dans ses hot et warm wallets et a suspendu temporairement les retraits. Le 30 septembre, la société a déclaré que les attaquants avaient exploité une faille zero-day dans des produits de sécurité tiers. Voici les faits connus, en indiquant qui les a déclarés.

Ce qui s'est passé

Selon le compte rendu publié par The Hacker News le 1er octobre 2026, les transferts non autorisés ont touché 11 blockchains, dont Ethereum, XRP Ledger, TRON, Arbitrum, Base et BNB Smart Chain. Les actifs concernés comprennent XRP, ETH, USDT, USDC, BNB et d'autres jetons. À ce jour, environ 1,1 million de dollars ont été gelés, par Circle, Tether et NEAR Intents : une très faible fraction du total.

Comment l'attaque s'est déroulée

Bitget explique que les attaquants ont obtenu des identifiants internes de haut niveau et s'en sont servis pour émettre de faux ordres de retrait vers le système de wallets, en contournant les contrôles de risque existants. Les enquêtes de SlowMist et de Mandiant, citées dans l'article, décrivent une chaîne en plusieurs étapes : accès à deux appliances de sécurité tierces (désignées A et B), installation d'un web shell sur l'une d'elles, déplacement latéral vers le serveur qui gère les retraits, puis déploiement de paquets malveillants. SlowMist situe la première activité malveillante au 31 août 2026 ; l'outil de retrait a commencé à fonctionner le 25 septembre à 01 h 49. Bitget a prévenu le fournisseur et désactivé la fonction concernée dans l'attente d'un correctif.

Qui est derrière l'attaque, selon Bitget

Bitget attribue l'attaque à des acteurs nord-coréens, d'après le comportement des adresses IP et l'analyse on-chain. Les analystes Elliptic et TRM Labs ont relevé des recoupements entre les wallets utilisés pour blanchir les fonds et ceux d'attaques précédentes. Il s'agit d'une attribution déclarée par la société, et non d'une conclusion judiciaire.

Pourquoi cela concerne aussi les entreprises suisses

L'incident ne vient pas d'un défaut de la blockchain, mais de dépendances techniques : des produits de sécurité installés au cœur de l'infrastructure. Toute entreprise qui utilise des appliances, des agents ou des services de tiers présente le même type d'exposition. Quelques questions pratiques, valables hors du secteur crypto :

• Quels composants tiers disposent d'un accès privilégié à nos systèmes critiques ?
• Les identifiants internes sont-ils segmentés, renouvelés et surveillés ?
• Une seule commande d'administration peut-elle déplacer des fonds sans seconde validation ?
• Existe-t-il un plan de réponse, avec les contacts du fournisseur et des équipes d'analyse forensique ?

Pour quiconque gère ne serait-ce qu'un site, un outil de gestion ou un portail client, le principe est le même : réduire les privilèges, séparer les rôles et contrôler les accès.

Sources

• The Hacker News, Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft, 1er octobre 2026 : https://thehackernews.com/2026/10/bitget-confirms-third-party-zero-day.html

Information, pas un conseil. Les chiffres et attributions sont ceux déclarés par les sources citées.