Cet article a été compilé et organisé par BlockWeeks
Le brief de recherche de cette semaine se concentre sur trois points : un examen de l'incident de vol de 387,5 millions de dollars de Bitget, la foire aux questions (FAQ) de la SEC concernant les rachats de jetons, et les points clés du sommet de l'IA de la Maison Blanche.
1. Lazarus frappe encore : retour sur le vol de 387,5 millions de dollars de Bitget
La semaine dernière, Bitget a révélé que des attaquants avaient volé 387,5 millions de dollars depuis ses portefeuilles chauds et tièdes via une série de transferts non autorisés, et a temporairement suspendu tous les retraits. Les pertes s'étendaient sur 11 blockchains, dont Ethereum, XRP, TRON, Arbitrum, Base et BSC, la perte la plus importante sur une seule chaîne étant sur XRP, à environ 83 millions de dollars.
Selon la PDG de Bitget, Gracy Chen, les clés privées et les portefeuilles froids n'ont pas été compromis — une affirmation également corroborée par les centaines de millions de dollars de jetons restant encore dans les adresses attaquées. Ce que les attaquants ont réellement exploité, ce sont deux produits de sécurité tiers (utilisant une vulnérabilité zero-day pour obtenir des identifiants internes de haut niveau), en implantant de fausses instructions de retrait dans le backend du portefeuille et en supprimant ces instructions après le transfert des fonds. SlowMist, la société de sécurité engagée par Bitget, a retracé l'activité malveillante la plus ancienne au 31 août et a reconstruit un outil de retrait personnalisé construit autour de la logique de retrait de Bitget. Dans l'ensemble, cela indique une attaque de gestion de portefeuille hautement étudiée et extrêmement ciblée.
Sur la base du comportement des IP et de l'analyse on-chain, Bitget a attribué l'attaque à des acteurs nord-coréens ; les sociétés de suivi on-chain Elliptic et TRM ont trouvé des chevauchements entre les portefeuilles concernés et des incidents de piratage passés. La majeure partie des fonds volés a été transférée via THORChain, et THORChain a refusé la demande de Chen d'arrêter les services au motif d'être « décentralisé et sans permission ». NEAR Intents a adopté l'approche opposée, interceptant plus de 50 millions de dollars de flux de blanchiment d'argent et gelant environ 503 000 dollars dans le processus. Le fonds de protection de Bitget et la surcollatéralisation applicable de la preuve de réserves (PoR) ont couvert cette perte, toutes les pertes étant supportées par le fonds de protection, qui a été reconstitué à 300 millions de dollars.
Puis jeudi, NEAR Intents a lui-même été attaqué : une vulnérabilité dans son infrastructure de dépôt/retrait Omni a causé environ 3,8 millions de dollars de pertes, et les responsables ont déclaré qu'ils indemniseraient intégralement. ZachXBT a signalé plusieurs sorties anormales des portefeuilles chauds BSC, les fonds étant transférés vers KuCoin puis pontés vers Bitcoin.
2. Les clés privées ont été « résolues » ; la vraie cible est le pipeline d'approbation
Si cet incident vous semble familier, c'est parce qu'en février 2025, le groupe de hackers nord-coréen Lazarus a volé 1,5 milliard de dollars à Bybit de la même manière — ils n'ont pas volé les clés privées de Bybit, mais ont plutôt compromis l'infrastructure de Safe{Wallet}, montrant aux signataires une interface falsifiée, après quoi les signataires ont approuvé ce qui ressemblait à un transfert de routine. La cryptographie elle-même était complètement normale ; elle a simplement signé fidèlement ce qu'on lui demandait de signer.
C'est précisément le paysage actuel des attaques majeures : personne n'attaque les mathématiques des clés privées, car ces mathématiques (actuellement) ne peuvent pas être brisées ; ils attaquent les personnes ou les systèmes qui « disent à ces mathématiques quoi faire ». La sécurité des clés privées des principaux échanges de crypto-monnaies est parmi les meilleures au monde, et la dernière fois qu'un grand échange a vu ses clés privées compromises remonte à plusieurs années. L'attaque de clé privée subie par Phemex en janvier 2025 n'a entraîné que des pertes d'environ 50 millions de dollars, et le cas de Coincheck en 2018 impliquant plus de 500 millions de dollars appartient déjà à « l'histoire ancienne ». La sécurité des clés privées a essentiellement été résolue, donc pour les attaquants, la cible la plus précieuse n'est pas la clé elle-même, mais le maillon qui détermine « ce qui est présenté à la clé ». Bitget n'a jusqu'à présent pas divulgué les noms des fournisseurs exploités, et le rapport d'expertise les désigne uniquement comme « Produit A » et « Produit B ».
La forme du vol elle-même illustre également le problème : si les attaquants avaient obtenu les clés privées, ils auraient balayé tous les fonds ; mais la première notification de Bitget ne décrivait que des transferts non autorisés depuis un nombre limité de portefeuilles chauds. Un drainage lent est la signature d'« un service intermédiaire compromis » plutôt que de « clés privées compromises ».
Nick Szabo écrivait dès 2001 dans « Trusted Third Parties Are Security Holes ». Cette industrie paie un prix d'environ neuf chiffres chaque année pour réapprendre cette leçon : les mathématiques de la cryptographie sont sûres ; ce qui doit être renforcé, c'est la structure qui l'entoure. Cet été, l'industrie de l'IA a appris une leçon similaire.
3. FAQ de la SEC sur les rachats : la frontière entre les systèmes fonctionnels et « l'absence de partie centrale »
La FAQ publiée par la SEC fournit une explication plus détaillée concernant les rachats de jetons. Sur la question du « contrat d'investissement », promouvoir l'utilité actuelle d'un système crypto, ou promouvoir sa vision future sans y attacher d'implications de profit, n'est probablement pas susceptible de constituer une promesse d'« efforts de gestion essentiels » au sens du test Howey ; une fois que le système est déjà opérationnel, les services fournis pour le sécuriser, le maintenir, l'améliorer ou le renforcer, ou pour promouvoir des effets de réseau, ne constituent pas non plus des efforts de gestion essentiels.
La partie la plus suivie est la section sur les rachats. La FAQ Q2.5 demande : si l'annonce par un émetteur d'un plan de rachat d'actifs crypto non-values mobilières (que ce soit pour la gestion de trésorerie, la réduction de l'offre, les brûlages financés par le protocole ou le rééquilibrage) constitue en soi une promesse d'« efforts de gestion essentiels » — ce qui est l'une des voies par lesquelles une vente de jetons pourrait relever d'un contrat d'investissement Howey. La réponse du personnel est : lorsque le système crypto est déjà opérationnel et qu'il n'y a pas de partie centrale, une telle annonce ne constitue pas ce type de promesse.
Il convient de noter que l'expression « et qu'il n'y a pas de partie centrale » n'a été ajoutée que le 28 septembre 2026 — trois jours après la publication de la FAQ, après les critiques de l'industrie selon lesquelles la formulation originale (exigeant seulement qu'il soit « déjà opérationnel ») était trop large. Si le système n'est pas encore opérationnel, alors tant que l'émetteur présente le rachat comme apportant des avantages ou des rendements aux détenteurs de jetons, l'annonce peut encore constituer une telle promesse. Cependant, la FAQ n'explique pas comment les annonces de rachat doivent être traitées dans les systèmes « déjà opérationnels mais ayant une partie centrale » — puisque la réponse ne couvre plus ce scénario, il retombera probablement dans l'analyse générale Howey fondée sur les faits et les circonstances.
