Bitget a perdu 387,5 millions de dollars dans la plus grande cybercriminalité cryptographique de 2026, et aucune clé privée n'a été volée. Les attaquants ont usurpé la couche d'autorisation de l'échange — la même forme de défaillance que celle de Bybit en 2025 — et moins de 0,1 % du butin est gelable. Voici ce que cela signifie pour les traders.
La sécurité des échanges de cryptomonnaies a encore échoué — et ce n'était pas les clés
Le 24 septembre 2026, 387,5 millions de dollars ont été drainés de l'échange de cryptomonnaies Bitget en moins d'une heure. Aucune clé privée n'a été volée. Aucun mot de passe n'a été craqué. Aucun employé n'a été corrompu. Les attaquants se sont introduits dans le backend de l'échange, lui ont injecté des données de transaction falsifiées, et ont regardé le système d'approbation de la plateforme expédier l'argent — car le système croyait sincèrement que les transferts étaient légitimes. Il s'agit de la plus grande cybercriminalité cryptographique de 2026 à ce jour, et cela marque un tournant décisif dans la manière dont la sécurité des échanges de cryptomonnaies échoue réellement.
Points clés
- La faille de sécurité de Bitget, d'un montant de 387,5 millions de dollars, survenue le 24 septembre 2026, constitue la plus grande cybercriminalité cryptographique de l'année à ce jour, et les attaquants n'ont jamais touché une seule clé privée.
- Le vecteur d'attaque, consistant à usurper la couche d'autorisation de l'échange, fait écho au vol de 1,5 milliard de dollars de Bybit en février 2025.
- Les groupes liés à l'État nord-coréen ont repoussé les vols de crypto-monnaies de 2026 au-delà de 1 milliard de dollars, s'ajoutant aux quelque 2 milliards de dollars volés en 2025.
- Les émetteurs de stablecoins n'ont gelé qu'environ 318 000 dollars du butin ; le reste se trouve principalement en XRP et en ETH, que aucun émetteur ne peut geler.
- Une décennie consacrée au durcissement de la garde des clés n'a pas empêché cela, car l'attaque a évolué vers des couches supérieures de la pile technologique.
Pourquoi la sécurité des échanges de crypto-monnaies continue-t-elle de faire défaut ?
Pendant une décennie, la sécurité des crypto-monnaies a reposé sur un seul slogan : « pas vos clés, pas vos pièces ». L'industrie a investi des milliards dans le durcissement de la garde des clés — stockage à froid, modules de sécurité matérielle (HSM), calcul multipartite, coffres-forts isolés du réseau, schémas multisignature 11 sur 15. Et pendant un temps, cela a fonctionné. Les attaques contre les clés elles-mêmes sont devenues plus difficiles et plus rares.
Les attaquants ont donc changé de cible.
La faille de sécurité de Bitget est la preuve la plus éclatante que le modèle de menace entier du secteur est désormais obsolète. L'attaque ne visait pas la serrure. Elle visait le portier — la couche d'autorisation, les logiciels et les personnes qui décident si une transaction est légitime avant qu'une clé ne soit autorisée à agir. Corrompez cette couche, et la clé signera volontiers tout ce qui lui est présenté.
Comment la faille de sécurité de Bitget a-t-elle réellement fonctionné ?
Le directeur général de Bitget l'a décrit clairement : l'attaquant a compromis un système backend critique au sein de l'infrastructure de portefeuille de l'entreprise, s'en est servi pour falsifier les données de transaction, et a déclenché le propre processus d'autorisation de la plateforme pour déplacer les fonds. La clé de signature n'a jamais été touchée. Ce sur quoi elle se fiait, si.
Il ne s'agit pas de vol de clés. Il s'agit d'une compromission de la confiance. Et cela prend la même forme que le braquage de Bybit en février 2025, lorsque 1,5 milliard de dollars ont disparu non pas parce que des clés ont été volées, mais parce que les attaquants ont falsifié ce que les signataires humains voyaient sur leurs écrans, les incitant à approuver des transferts vers des portefeuilles froids qu'ils croyaient être des opérations courantes.
Deux des plus grandes failles de sécurité de l'histoire de la crypto partagent désormais la même structure : l'attaquant ne bat jamais la cryptographie. Il bat le processus de décision qui repose dessus. Bitget a fait appel à Mandiant et SlowMist pour enquêter, et les équipes forensiques retracent l'argent aux côtés des firmes d'intelligence on-chain TRM Labs et Elliptic. La conclusion se dessine rapidement : le périmètre que les plateformes d'échange ont durci pendant une décennie n'est plus là où cette catégorie d'attaquants s'en prend désormais.
Qui gagne, et qui perd, avec ce changement ?
Les gagnants sont faciles à repérer. Les entreprises d'intelligence forensique et on-chain — Mandiant, SlowMist, TRM Labs, Elliptic — sont payées pour traquer l'argent, et les affaires sont florissantes. Le nouveau créneau de sécurité de la couche d'autorisation, où les fournisseurs surveillent les flux de transactions internes plutôt que la seule garde des clés, dispose d'une étude de cas qui définira la catégorie. Les souscripteurs d'assurance qui ont passé des années à soutenir que le risque des échanges est un problème opérationnel et non cryptographique semblent soudainement prophétiques.
Les perdants sont moins évidents. Les échanges disposant d'une infrastructure backend complexe sont désormais la cible de choix — chaque service interne est une porte potentielle, et la complexité est l'amie de l'attaquant. Les utilisateurs particuliers qui croient encore que leurs fonds sont en sécurité parce qu'ils sont stockés à froid s'appuient sur une hypothèse vieille de dix ans. Le stockage à froid protège les clés. Il ne protège pas le processus d'approbation.
Il y a ensuite le réflexe de gel. Circle et Tether, les émetteurs de stablecoins qui peuvent blacklist des adresses, ont gelé environ 318 000 $ du butin. Cela représente moins de 0,1 % du total. Le butin était dominé par le XRP, environ 102,93 millions de jetons, et l'ETH, environ 31 890 jetons, des actifs natifs sans émetteur central capable de les geler. Le frein d'urgence préféré de l'industrie est structurellement inutile contre exactement les actifs que les attaquants préfèrent voler. Ce n'est pas un bug. C'est la conception.
Cela s'est-il déjà produit, et qu'est-ce qui est différent maintenant ?
Bitget n'est pas une anomalie. C'est la dernière marche d'une échelle d'escalade longue de dix ans :
- 2014, Mt. Gox : vol de la clé privée du portefeuille chaud, environ 850 000 BTC.
- 2016, Bitfinex : vol de clés multisig, environ 120 000 BTC.
- 2022, Ronin : compromission de clé de validateur et ingénierie sociale, environ 600 millions de dollars.
- 2025, Bybit : tromperie du signataire via une interface falsifiée, environ 1,5 milliard de dollars.
- 2026, Bitget : usurpation de la couche d'autorisation, environ 387,5 millions de dollars.
Chaque échelon éloigne davantage l'attaquant de la cryptographie et le rapproche des décisions humaines et logicielles qui l'entourent. Les mathématiques n'ont jamais été le maillon faible. C'est le flux de travail qui l'était.
Ce qui a changé, c'est l'attaquant. L'appareil de piratage d'État de la Corée du Nord, suivi sous les noms de Lazarus, TraderTraitor et WaterPlum, a industrialisé cette pratique. Selon Chainalysis, les vols liés à la RPDC ont dépassé 2 milliards de dollars en 2025 à eux seuls, et le butin de Bitget porte le total de 2026 au-delà de 1 milliard de dollars, avec plusieurs mois encore à venir. Il ne s'agit pas d'un attaquant opportuniste utilisant des scripts. C'est une opération bien financée qui mène un programme de revenus, avec la patience d'insérer des contractants informatiques falsifiés au sein des entreprises cibles pendant des mois, et elle traite les échanges comme un fonds traite un marché : de manière systématique et à des fins lucratives.
Où en sommes-nous dans un à trois ans ?
La vérité inconfortable est que les choses s'aggravent avant de s'améliorer. Trois forces convergent.
La première est l'IA. La même classe de modèles qui échange des crédits pour bloquer des milliards de fraudes peut être orientée dans l'autre sens, générant des données de transaction convaincantes, automatisant la découverte de failles d'autorisation et amplifiant des attaques qui exigeaient autrefois une expertise humaine approfondie. Des agents autonomes ont déjà démontré qu'ils pouvaient trouver et enchaîner des vulnérabilités logicielles pour obtenir un accès élevé sur des systèmes de test. La couche d'autorisation est sur le point de faire face à des adversaires qui ne dorment jamais et ne font jamais de fautes de frappe.
La deuxième est l'autonomie. À mesure que les portefeuilles deviennent agents, avec des bots et des assistants IA signant des transactions au nom d'un utilisateur, l'humain dans la boucle disparaît. Lorsqu'une machine autorise un transfert, des données falsifiées n'ont plus d'humain sceptique pour les détecter. La question ne porte plus sur celui qui détient la clé, mais sur qui, ou quoi, autorise la machine.
La troisième est les actifs eux-mêmes. À mesure que davantage de valeur se déplace vers des actifs natifs et s'éloigne des stablecoins congelables, le plan de récupération qui consiste à geler, à mettre sur liste noire et à récupérer perd de sa puissance. Le taux de récupération réaliste pour une attaque de style Bitget sur des actifs natifs est effectivement de zéro.
Dans un à trois ans, attendez-vous à ce qu'une nouvelle catégorie de sécurité domine : la surveillance continue et basée sur le comportement de la couche d'autorisation elle-même. Non pas si une clé est sécurisée, mais si une transaction a du sens compte tenu de tout ce que le système sait.
Que signifie cela pour les traders ?
Aucune de ces informations ne constitue une prédiction de prix. Il s'agit d'une carte des risques, et il y a quelques implications stratégiques qui méritent d'être approfondies.
Le risque de contrepartie sur les plateformes n'est plus seulement une question de solvabilité. C'est une menace récurrente et sophistiquée, portée par des acteurs étatiques. La question à poser à une plateforme n'est pas de savoir si elle dispose d'un stockage à froid, car tout le monde en a, mais comment elle valide un retrait avant qu'il ne soit signé.
Un fonds de protection des utilisateurs est une solution de dernier recours, pas une défense. Le fonds de 464 millions de dollars de Bitget couvre la perte, et cette couverture est réelle. Mais la couverture n'est pas la prévention. Un fonds qui verse des indemnités après une violation n'est pas le même qu'un système qui empêche celle-ci.
Sachez où se situe l'exposition. Les actifs natifs comme le XRP et l'ETH sont des cibles privilégiées précisément parce qu'ils ne peuvent pas être gelés, ce qui signifie que le recouvrement par la plateforme d'actifs natifs volés est nul. L'actif détenu détermine le risque encouru, indépendamment de la plateforme.
L'auto-garde retire la couche d'autorisation de la plateforme de l'équation, mais seulement si une personne fait davantage confiance à sa propre sécurité opérationnelle qu'à celle d'une institution renforcée. Pour la plupart des gens, ce compromis n'a pas vraiment changé. Ce qui a changé, c'est l'honnêteté : aucun modèle de garde n'est sûr, ils sont seulement différemment vulnérables.
La question que la crypto devrait se poser
Pendant une décennie, l'industrie s'est raconté une histoire réconfortante : protégez les clés, et vous êtes en sécurité. Le vol sur Bitget, comme celui de Bybit avant lui, est la réponse à cette croyance. Les attaquants ne se soucient plus des clés. Ils ont réalisé que le véritable actif est l'autorisation de les dépenser.
Si la prochaine génération de vols ne touche pas une seule clé privée, la question ouverte pour l'ensemble de l'industrie est de savoir exactement ce qui est défendu, et qui reste pour l'arrêter.
FAQ
Bitget a-t-il été piraté via une clé privée volée ?
Non. La divulgation post-incident de Bitget a exclu le vol de clés cryptographiques. L'attaquant a compromis un système backend qui traite les transactions des portefeuilles et lui a injecté des données de transaction falsifiées, de sorte que le processus d'autorisation de l'échange a approuvé les paiements comme s'il s'agissait de transactions courantes. Les clés n'ont jamais été touchées ; ce qui l'a été, ce sont les données en lesquelles les clés avaient confiance.
S'agit-il du même piratage que celui de Bybit ?
Structurellement, oui. La brèche de Bybit de 1,5 milliard de dollars en février 2025 et celle de Bitget de 387,5 millions de dollars en septembre 2026 ont contourné les clés et attaqué la couche d'approbation. Bybit a été leurré à l'écran du signataire ; Bitget a été leurré dans son propre backend. La cryptographie a tenu dans les deux cas ; le processus de décision non.
Pourquoi Circle et Tether n'ont-ils gelé que 318 000 $ environ ?
Parce que les stablecoins ne représentaient qu'une petite partie du butin. La majeure partie des fonds volés était constituée d'actifs natifs, XRP et ETH, qui n'ont pas d'émetteur central disposant du pouvoir de blacklisté les adresses. Cela expose une limite structurelle du jeu de l'industrie en matière de gel et de récupération : il ne fonctionne que sur les actifs que quelqu'un contrôle.
Qui se cachait derrière le piratage de Bitget ?
L'attribution reste une hypothèse de travail. Bitget a pointé du doigt des groupes parrainés par l'État nord-coréen, et les techniques et les schémas de blanchiment correspondent à l'activité de Lazarus et TraderTraitor derrière les piratages de Bybit et Ronin. Mandiant et SlowMist mènent l'enquête médico-légale.
Les fonds des clients sont-ils en danger ?
Bitget affirme que son Fonds de protection des utilisateurs, qui détient plus de 464 millions de dollars, est suffisant pour couvrir la perte totale, et la plateforme restaure les retraits par phases. La leçon plus large ne concerne pas la solvabilité d'une seule plateforme, mais le modèle de menace de l'ensemble de l'industrie : aucune configuration de garde n'est immunisée, elles sont seulement exposées différemment.