Bitget attribue le piratage de 387,5 millions de dollars à des failles zero-day dans des outils tiers

La plateforme d'échange de cryptomonnaies Bitget a révélé qu'une récente intrusion ayant entraîné le vol de 387,5 millions de dollars découlait de vulnérabilités zero-day présentes dans des équipements de sécurité tiers. Les conclusions des enquêtes médico-légales distinctes menées par SlowMist et Mandiant indiquent que des attaquants ont exploité ces failles pour obtenir un accès privilégié non autorisé à l'environnement des portefeuilles de Bitget, permettant finalement des transferts de fonds frauduleux le 25 septembre 2026.

Vecteur d'attaque et déplacement latéral

Selon Bitget et les rapports d'expertise, les acteurs menaçants ont compromis deux équipements de sécurité distincts désignés sous les noms de Produit A et Produit B. Les enquêteurs ont observé des activités malveillantes remontant au 31 août, lorsqu'un attaquant a exploité une faille zero-day dans un processus de service du Produit A afin d'extraire les identifiants d'une base de données. Le 24 septembre, les pirates ont déployé un web shell sur le Produit B pour établir un accès de commande et contrôle, utilisant cette présence pour se déplacer latéralement vers le serveur de tâches des portefeuilles de production de Bitget.

Une fois introduits dans l'environnement de production, les attaquants ont installé un logiciel malveillant personnalisé ainsi qu'un outil de retrait. Ces programmes ont falsifié des données de transaction, ce qui a trompé les mécanismes internes d'autorisation de la plateforme et déclenché le transfert des fonds hors des portefeuilles chauds et tièdes à travers plusieurs réseaux blockchain.

Ampleur du piratage et premières mesures

Les transferts non autorisés se sont déroulés au début de la journée du 25 septembre, s'étalant sur environ trois heures, de 02 h 31 à 05 h 23 UTC+8. Le vol a touché des actifs sur divers réseaux, notamment Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC et Base, affectant des jetons tels que ETH, XRP, BNB, AVAX, USDT et USDC.

Bitget a temporairement suspendu l'ensemble des retraits après avoir détecté ces mouvements anormaux. La PDG Gracy Chen a attribué cette attaque à des pirates soutenus par l'État nord-coréen, en se fondant sur le comportement des adresses IP et l'analyse on-chain. Afin d'aider à la récupération des actifs, Bitget a mis en place un programme de prime de récupération offrant 5 % des fonds récupérés aux parties qui contribueront à geler ou restituer la cryptomonnaie dérobée.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Bitget hacked via zero-day in third-party security products