Le 24 septembre 2026, Bitget a détecté des transferts non autorisés depuis une partie de ses hot et warm wallets. Son point on-chain du 25 septembre chiffre le montant à 387,5 millions de dollars ; une page d’incident officielle ultérieure l’arrondit à environ 388 millions et mentionne 12 adresses de wallets. Ces chiffres sont le bilan publié par Bitget, pas une estimation indépendante.
Ce que Bitget a confirmé
La page d’incident indique que les transferts ont été détectés à 18 h 31 UTC et que les cold wallets sont restés hors du périmètre annoncé. Une mise à jour ultérieure décrit l’exploitation d’une vulnérabilité dans un produit de sécurité tiers, le vol d’identifiants intranet à privilèges élevés et la falsification de commandes de retrait. Bitget dit que ses clés privées n’ont pas été compromises; Mandiant et SlowMist l’assistent dans l’enquête.
Ces éléments sont des informations publiées par Bitget. Au 1er octobre, son calendrier annonçait la reprise progressive des retraits : BTC et ETH étaient rouverts, et USDT devait reprendre le 30 septembre ; les autres actifs, les retraits fiat et le P2P étaient prévus le 2 octobre à 08:00 UTC. Ce calendrier est une annonce de Bitget, pas une confirmation que chaque service est effectivement rétabli. Vérifiez l’état affiché par la plateforme avant d’agir.
Hot, warm et cold wallets
La distinction entre couches de portefeuille est opérationnelle : un accès compromis à une zone chaude ne signifie pas automatiquement que les clés privées des cold wallets ont été exposées. Elle ne supprime pas pour autant le risque lié aux comptes, aux services internes et aux systèmes qui autorisent les mouvements.
Les équipes doivent documenter quels opérateurs peuvent consulter, préparer ou valider un retrait, et quelles actions sont journalisées.
Le rôle des identifiants
La mise à jour Bitget relie l’incident à une vulnérabilité d’un produit de sécurité tiers et à des identifiants intranet volés. Une fois un accès interne obtenu, l’attaquant a pu viser les commandes et les contrôles qui entourent les portefeuilles.
Cette chaîne rappelle qu’un mot de passe de service, une session persistante ou une clé d’administration peut devenir un levier financier même si les clés privées principales restent isolées.
Mesures pour les équipes
Séparez les comptes d’administration et d’exploitation, limitez les droits de retrait et imposez une validation indépendante pour les montants sensibles. Faites tourner les secrets après une exposition confirmée, mais préservez d’abord les journaux et les informations nécessaires à l’enquête.
Surveillez aussi les demandes urgentes qui imitent une procédure de récupération : un incident largement commenté crée un terrain favorable aux faux supports.
Le lien avec Soclyde
Soclyde ne protège pas l’infrastructure d’un exchange et ne valide pas une transaction. Il peut aider une équipe à conserver des accès distincts et des secrets de secours dans un coffre chiffré local-first, avec un partage contrôlé entre appareils autorisés.
Cette organisation aide à retrouver les accès à révoquer ou à faire tourner sans centraliser les secrets dans un coffre cloud exploité par Soclyde.
À retenir
Bitget estime désormais la perte à environ 388 millions de dollars et décrit une chaîne impliquant des accès internes. Le dirigeant de la plateforme a évoqué la Corée du Nord, mais les sources citées rapportent une suspicion et des recoupements, pas une attribution indépendante définitive. Séparez les rôles, renforcez la validation des retraits et préparez une rotation documentée. Utilisez le générateur de mots de passe sécurisé ou contactez Soclyde.
Pour organiser ces accès partagés avec des règles de transmission et de révocation, consultez aussi le guide de partage sécurisé des mots de passe en équipe.
