Bitget a fixé au 28 septembre la reprise des retraits de Bitcoin après un incident de sécurité survenu le 24 septembre, les services de retrait d'Ether, d'USDT et d'autres étant prévus pour suivre jusqu'au 2 octobre.
Résumé
- Les retraits de Bitcoin doivent rouvrir à 08h00 UTC le 28 septembre.
- Les retraits d'ETH et d'USDT doivent revenir sur des réseaux sélectionnés au cours des deux jours suivants.
- Bitget affirme avoir corrigé les vulnérabilités et procéder à des vérifications de sécurité supplémentaires.
- Un récit ultérieur de l'incident a estimé les transferts vers des adresses contrôlées par l'attaquant à environ 387,5 millions de dollars.
Bitget a déclaré dans une mise à jour que son équipe technique avait identifié et corrigé les vulnérabilités liées à l'incident. La plateforme vérifie ses systèmes de retrait avant de les rouvrir et a indiqué que Mandiant, une société de cybersécurité détenue par Google, et la société de sécurité blockchain SlowMist aident à enquêter sur l'attaque.
Les dates font partie d'un calendrier de réouverture planifié. Bitget a demandé aux utilisateurs de se fier aux avis de la plateforme et de ses canaux officiels pour confirmer que chaque service est disponible. Les clients n'ont pas besoin d'entreprendre d'action avant la reprise des retraits, a-t-elle déclaré.
Les retraits de Bitget doivent revenir en quatre étapes
Selon le calendrier, les retraits de BTC sur le réseau Bitcoin doivent reprendre à 08h00 UTC le 28 septembre. Les retraits d'ETH sont prévus à la même heure le 29 septembre sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism.
Les retraits d'USDT sont prévus à 08h00 UTC le 30 septembre sur Ethereum, BNB Smart Chain, Solana et Tron. Bitget a placé les retraits d'autres jetons, les services de monnaie fiduciaire et les transactions de pair à pair dans la dernière étape, prévue à 08h00 UTC le 2 octobre.
Les listes de réseaux importent pour les clients détenant de l'ETH ou de l'USDT : le retour prévu d'un jeton ne signifie pas que les retraits sur tous les réseaux rouvriront en même temps. Bitget a nommé cinq réseaux pour la première étape de l'ETH et quatre pour l'USDT. Elle n'a pas fourni de liste réseau par réseau pour les jetons restants dans le calendrier partagé avec les utilisateurs.
Le trading et les dépôts ont continué pendant la pause des retraits, selon la plateforme. Bitget a décrit la suspension comme une mesure de sécurité temporaire et a déclaré que les soldes des comptes clients n'avaient pas changé. Sa déclaration selon laquelle les actifs des utilisateurs ne sont pas affectés fait référence aux soldes des clients ; la plateforme a séparément signalé des transferts non autorisés depuis sa propre infrastructure de portefeuille.
La perte signalée a augmenté par rapport à la première estimation de Bitget
Bitget a détecté des transferts non autorisés depuis certains de ses portefeuilles le 24 septembre et a interrompu les retraits pendant son enquête. Comme crypto.news l'a rapporté vendredi, la plateforme avait initialement estimé qu'environ 351,6 millions de dollars d'actifs étaient concernés. Elle a déclaré que ses portefeuilles froids étaient sécurisés et que son enquête préliminaire n'avait trouvé aucune preuve de fuite de clé privée.
Dans un récit ultérieur cité par Outlook Money le 26 septembre, Bitget a estimé la valeur transférée vers des adresses contrôlées par l'attaquant à environ 387,5 millions de dollars. Le chiffre ultérieur incluait des actifs Zcash et TRON qui étaient absents de la première estimation. Bitget a déclaré que son travail de traçage se poursuivait, de sorte que le chiffre pourrait changer à mesure que les enquêteurs classent des transactions supplémentaires.
L'enquête antérieure pointait vers une possible violation d'un service de portefeuille backend, selon les déclarations de Bitget couvertes par crypto.news. La plateforme n'avait pas établi de point d'entrée final dans ce récit. Sa dernière déclaration indique que les vulnérabilités ont été corrigées, tandis que Mandiant et SlowMist continuent d'aider à l'enquête.
Bitget a déclaré que son fonds de protection couvrira l'impact financier de l'incident. Pendant la pause des retraits, la plateforme a rapporté que le fonds détenait plus de 464 millions de dollars et a déclaré que les soldes des clients restaient exacts. La déclaration du fonds est le récit de Bitget sur la manière dont elle entend absorber la perte ; cela ne signifie pas que les transferts non autorisés n'ont pas eu lieu.
La directrice générale Gracy Chen a également évoqué un possible lien avec la Corée du Nord lors d'une discussion publique antérieure, citant des similitudes impliquant des adresses IP et des services VPN. Elle n'a pas confirmé qui a mené l'attaque. Aucune attribution publique par une agence gouvernementale n'a été identifiée dans le précédent rapport d'enquête de crypto.news.
Les transferts d'USDC volés ont attiré l'attention aux États-Unis.
Alors que les retraits étaient suspendus, la chercheuse en sécurité Taylor Monahan a identifié des mouvements d'USDC qu'elle a liés à l'attaquant, notamment des transferts et des conversions en ETH. Ses conclusions, rapportées par crypto.news le 25 septembre, ont soulevé des questions quant à savoir si Circle pouvait bloquer le mouvement des USDC volés. Le compte public n'a pas établi si Circle avait reçu une ordonnance judiciaire concernant les adresses.
La question a un lien direct avec les États-Unis car Circle est l'émetteur basé aux États-Unis de l'USDC. Circle a déclaré qu'elle gèle les jetons lorsqu'elle y est légalement contrainte. Dans une autre action en justice fédérale américaine déposée après l'exploit du Drift Protocol, un demandeur a allégué que Circle n'avait pas empêché les USDC volés de circuler via son système de transfert inter-chaînes. Cette allégation fait partie de cette action en justice, et non d'une décision de justice contre Circle ni d'une détermination concernant la réponse de Circle à l'incident de Bitget.
Pour les clients de Bitget, la prochaine étape opérationnelle reste la fenêtre de retrait en Bitcoin prévue le 28 septembre à 08h00 UTC. La plateforme a déclaré qu'elle confirmerait chaque réouverture via ses avis officiels au fur et à mesure que les contrôles de sécurité seront achevés.
