Bitget a perdu 351,6 millions de dollars et récupéré 318 000 avant que le reste ne devienne de l’ETH impossible à geler

Bitget a perdu 351,6 millions de dollars lors d’une attaque contre ses hot wallets le 24 septembre. Le lendemain, Circle et Tether en avaient récupéré 318 000 dollars à eux deux. Le reste est désormais de l’ether, et l’ether n’a pas de fonction de liste noire. Rien de tout cela n’a entamé le marché : le BTC est à 84 624 dollars, en hausse de 4,2 % sur la semaine, et le Fear & Greed n’est pas repassé sous 70 depuis la confirmation de l’attaque.

La semaine en bref

• Bitget a confirmé une attaque de 351,6 millions de dollars contre ses hot wallets ; les attaquants ont déplacé les fonds d’une chaîne à l’autre et échangé les stablecoins contre de l’ETH.
• Circle et Tether ont gelé 318 000 dollars liés au piratage ; le reste était déjà de l’ether impossible à geler.
• Des chercheurs white hat ont détourné 2,8 % des bitcoins d’un exploit contre Coldcard vers un portefeuille étiqueté « Crypto Recovery Trust ».
• BTC 84 624 $ (+4,2 % sur la semaine), ETH 2 690 $ (+1,7 % sur la semaine), Fear & Greed à 70.

Les hot wallets de Bitget vidés de 351,6 millions, le pirate se réfugie dans l’ETH

Bitget a confirmé l’attaque le 24 septembre : plusieurs hot wallets vidés, des actifs déplacés d’une chaîne à l’autre, des stablecoins convertis en ether au fil de transactions rapides, enchaînées les unes aux autres. C’est tout ce qui est public pour l’instant. Aucun détail sur les portefeuilles touchés, aucun vecteur d’attaque confirmé, rien encore sur la question de savoir si les réserves ou un fonds d’assurance couvrent le trou. Je n’ai pas l’analyse de Bitget lui-même, et tant qu’elle n’existe pas, toute affirmation qui va au-delà du chiffre du titre reste une supposition.

Pourquoi c’est important : 351,6 millions de dollars, c’est assez pour vérifier si une plateforme de cette taille peut absorber la perte sans toucher aux soldes des utilisateurs. Cette question reste entièrement sans réponse pour l’instant, et l’ampleur du chiffre est le seul fait dont dispose quiconque se trouve hors de l’entreprise.

À surveiller : si Bitget publie une preuve de réserves ou un calendrier de remboursement, et si l’ether de l’attaquant commence à se diriger vers une plateforme centralisée, le moment où il apparaîtrait dans un flux de baleines.

Circle et Tether gèlent 318 000 dollars du butin ; le reste est déjà de l’ETH

Circle et Tether ont placé sur liste noire un portefeuille étiqueté « Bitget Exploiter 8 » le 25 septembre, bloquant environ 99 990 USDC et 218 023 USDT, soit près de 318 000 dollars au total. Decrypt et CoinDesk ont publié exactement le même chiffre, chacun de leur côté. Quand le gel est tombé, l’attaquant avait déjà converti l’essentiel des fonds volés en ETH.

Pourquoi c’est important : le gel a fonctionné exactement comme prévu et n’a pourtant récupéré qu’un dixième de pour cent du butin. Les émetteurs de stablecoins ne peuvent agir que sur leurs propres rails. Dès que les fonds volés quittent l’USDC ou l’USDT pour un actif natif, ce levier disparaît complètement : il ne s’affaiblit pas, il n’existe plus. Pour qui garde des fonds sur une plateforme, la leçon ne porte pas vraiment sur l’ether. Elle tient en ceci : un filet de sécurité situé à trois étapes de votre propre garde ne sert que si le voleur est assez lent pour s’y trouver encore quand il se déclenche. Celui-ci ne l’était pas.

À surveiller : si l’ETH de l’attaquant atterrit sur une plateforme centralisée, le seul point de blocage restant, ou s’il passe d’abord par un pont. Analyse complète sur Siade Whales.

Des hackers white hat détournent 2,8 % d’un exploit contre Coldcard vers un « fonds de récupération »

Selon Galaxy Research, des acteurs white hat ont regroupé les bitcoins liés à un exploit contre Coldcard sur une nouvelle adresse étiquetée « Crypto Recovery Trust ». Le montant déplacé représente 2,8 % du butin total. Les 97,2 % restants sont là où l’attaquant d’origine les a laissés.

Pourquoi c’est important : Coldcard est conçu pour le stockage à froid : des clés générées et des signatures réalisées hors ligne, sur un matériel qui n’est pas censé être le point faible. Un exploit contre lui est un exploit contre cette hypothèse précise, et 2,8 % récupérés, ce n’est pas une récupération, c’est une erreur d’arrondi qui porte un nom. Cela ne dit rien sur la question de savoir si la vulnérabilité en cause est corrigée.

À surveiller : si le fabricant de Coldcard indique la version du firmware concernée, et si l’adresse de récupération dépasse ses 2,8 % actuels dans les jours qui viennent.

La semaine en chiffres

• BTC 84 624 $, en hausse de 4,2 % sur la semaine et de 8,7 % sur 30 jours : le prix a encaissé le piratage à 351,6 millions d’une plateforme sans broncher.
• ETH 2 690 $, en hausse de 1,7 % sur la semaine et de 10,1 % sur 30 jours : l’actif même que le pirate de Bitget a choisi pour cacher les fonds volés.
• Capitalisation totale du marché : 3 068,89 milliards de dollars ; dominance du BTC à 55,1 % et de l’ETH à 10,7 %.
• Meilleures performances du top 20 sur 7 jours : LINK +14,2 %, ADA +14,0 %, DOGE +10,5 %. Les pires : TRX −0,3 %, HYPE −0,4 %, XMR −3,0 %.
• Fear & Greed à 70, et jamais sous 70 de toute la semaine : 71, 70, 78, 71, 71, 71, 74, 70. Le sentiment est resté à l’avidité malgré le titre du piratage.
• Mouvements de baleines de 25 millions de dollars ou plus : 5 sur les 168 dernières heures, 195,5 millions au total, 56,4 millions vers les plateformes contre 50,0 millions en sortie. Un penchant net de 6,4 millions vers les plateformes : trop faible pour parler de tendance, mais c’est le seul chiffre ici que vous pouvez confronter à vos propres adresses plutôt qu’à un indice d’humeur.
• Liquidations de BTC sur 7 jours : 104,9 millions de positions longues et 226,6 millions de positions courtes. Les vendeurs à découvert ont payé pour avoir parié contre une semaine qui a fini dans le vert.

À surveiller cette semaine

• Si Bitget publie une preuve de réserves ou un plan pour combler le trou de 351,6 millions.
• Si l’ether de l’attaquant de Bitget arrive sur une plateforme centralisée, le seul endroit où il pourrait encore être gelé ou signalé.
• Si le fabricant de Coldcard confirme l’exploit et si l’adresse de récupération dépasse 2,8 %.
• Si le Fear & Greed se maintient au-dessus de 70 en cas de ralentissement du BTC et de l’ETH, ou si le déséquilibre des liquidations entre longs et courts s’inverse.

Un solde sur une plateforme est une créance sur une entreprise, pas sur une blockchain : les utilisateurs de Bitget le réapprennent cette semaine, pour 351,6 millions de dollars. Siade Whales suit les flux des baleines et l’exposition de vos portefeuilles à partir d’adresses publiques, pour qu’un mouvement inhabituel apparaisse sur votre propre écran plutôt que dans l’avis de piratage de quelqu’un d’autre.