Deux jours après le piratage, les clients de Bitget ont enfin une date. La reprise des retraits par Bitget commencera lundi 28 septembre, par étapes et actif par actif. Entre-temps, la facture a grimpé : l’exchange évalue désormais la perte à 387,5 millions de dollars, contre 351,6 millions annoncés au départ. Pour tenter de récupérer une partie du butin, Bitget met aussi une prime sur la table.
Bitget reprise des retraits : le calendrier complet
Publié le 26 septembre à 3h55 UTC, le calendrier prévoit une réouverture progressive. Chaque étape démarre à 8 h 00 UTC :
- 28 septembre : Bitcoin (BTC), sur le réseau Bitcoin
- 29 septembre : Ether (ETH), sur Ethereum, BSC, Arbitrum, Base et Optimism
- 30 septembre : Tether (USDT), sur Ethereum, BSC, Solana et TRON
- 2 octobre : les autres tokens, les retraits en monnaie classique et le P2P
Par ailleurs, la PDG Gracy Chen tiendra une séance de questions-réponses le 28 septembre à 7h30 UTC, soit trente minutes avant la réouverture des retraits Bitcoin.
Une perte réévaluée à 387,5 millions de dollars
Le 25 septembre, Bitget a relevé son estimation de 35,9 millions de dollars. D’après The Crypto Times, un traçage plus poussé a révélé des transferts en Zcash et en TRON absents du premier décompte. L’exchange précise qu’il ne s’agit pas de nouveaux mouvements frauduleux. Au total, dix actifs sont touchés, dont XRP, ETH, USDT, ZEC, USDC, BNB, AVAX et TRX.
Face à cette perte, le fonds de protection de Bitget affichait plus de 464 millions de dollars le 24 septembre. La perte en représente donc environ 84 %. Bitget assure que ce fonds couvre l’intégralité de l’incident, sans qu’on puisse vérifier sa composition de l’extérieur.
Pas de clés volées, mais des données falsifiées
Lors de notre premier article sur le piratage de Bitget, la méthode de l’attaquant restait inconnue. On en sait désormais davantage. Selon les enquêteurs cités par crypto.news, le pirate a compromis un service interne de gestion des portefeuilles. Il a ensuite injecté de fausses données de transfert dans les systèmes de Bitget, qui ont déclenché eux-mêmes les autorisations de retrait. Autrement dit, aucune clé privée n’a fuité : le système a validé des ordres qu’il croyait légitimes. L’attaque est restée limitée aux portefeuilles chauds et tièdes, tandis que les portefeuilles froids sont restés intacts.
Une prime pour geler l’argent du pirate
5 % pour geler, 5 % pour récupérer
Bitget promet 5 % des fonds gelés et 5 % des fonds récupérés à toute personne ou entité dont l’action volontaire y contribue directement. Le programme vise les exchanges, les chercheurs en sécurité et les enquêteurs blockchain. En revanche, les saisies ordonnées par un tribunal ou par la police restent exclues. Bitget garde le dernier mot sur l’éligibilité, selon crypto.news.
Seulement 318 000 dollars gelés à ce jour
Pour l’instant, le bilan reste maigre. Circle a gelé 99 990 USDC et Tether 218 023 USDT, soit environ 318 000 dollars, d’après Parameter. C’est à peine 0,1 % du butin. Pendant ce temps, la chercheuse Taylor Monahan a repéré des USDC volés circulant entre plusieurs portefeuilles, alors qu’une partie des actifs était déjà convertie en ETH. Or l’ETH, contrairement aux stablecoins, ne peut être gelé par aucun émetteur.
Bitget reprise des retraits : une semaine chargée pour la sécurité crypto
L’affaire Bitget s’inscrit dans une série noire. Le lendemain du piratage, une vieille autorisation oubliée exposait 23 155 NFT sur Magic Eden. Au même moment, KelpDAO portait devant la justice canadienne sa plainte contre LayerZero pour un piratage de 292 millions de dollars. Ces trois dossiers ont un point commun : une infrastructure connectée en permanence, et donc exposée.
Ce que la reprise des retraits par Bitget change pour un utilisateur en France, en Belgique ou en Suisse
Pour un lecteur francophone client de Bitget, trois réflexes s’imposent. D’abord, retirer ses fonds uniquement via l’application ou le site officiel, jamais via un lien reçu par e-mail ou sur Telegram. En effet, les escrocs profitent souvent de ce genre de période pour envoyer de faux messages « de récupération ». Ensuite, prévoir de l’attente : lundi matin, la demande risque d’être forte. Enfin, vérifier le statut de sa plateforme sur le registre des prestataires agréés MiCA publié par l’ESMA, qui liste les plateformes autorisées à servir les clients européens.
Au final, la reprise des retraits dira si le fonds de protection tient ses promesses. D’ici là, la règle reste simple : ne laisser sur un exchange que ce dont on a besoin pour trader.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
