Bitget porte à environ 387,5 millions de dollars son bilan des actifs transférés à des adresses contrôlées par les attaquants lors de l’incident du 24 septembre 2026. L’estimation initiale atteignait 351,6 millions. La plateforme explique cette révision par un décompte plus complet, et non par de nouveaux transferts non autorisés. Elle annonce également une reprise progressive des retraits à partir du 28 septembre.

Un bilan révisé, pas une nouvelle attaque annoncée

Dans son premier avis officiel, Bitget indique avoir détecté des transferts non autorisés le 24 septembre à 18 h 31 UTC, soit 20 h 31 à Paris. Elle chiffre alors les fonds concernés à environ 351,6 millions de dollars. Selon ce communiqué, l’incident touche une partie de ses portefeuilles « hot » et « warm », tandis que les portefeuilles hors ligne restent sécurisés.

Ces termes désignent différentes couches de l’infrastructure de conservation de la plateforme. Il ne s’agit pas d’une annonce de compromission du réseau Bitcoin ni, dans ces communiqués, de l’application distincte Bitget Wallet.

Zcash et TRON expliquent le complément de décompte

La mise à jour sur le traçage des fonds, affichée au 25 septembre, porte le total à environ 387,5 millions de dollars. L’écart entre les deux montants annoncés atteint 35,9 millions de dollars. Bitget précise que le nouveau bilan intègre des actifs sur Zcash et TRON qui n’avaient pas été inclus dans l’estimation initiale.

La plateforme insiste sur un point : cette hausse ne correspond pas à de nouveaux transferts non autorisés. Le bilan reste néanmoins susceptible d’évoluer avec la classification des transactions. Il représente la valeur annoncée des actifs transférés, pas un montant net définitivement perdu après récupération.

Une réserve sur l’heure de publication du premier avis

L’heure exacte de diffusion du premier communiqué reste incertaine. Son texte situe la détection à 18 h 31 UTC, mais ses métadonnées de publication indiquent un horaire qui, après conversion, précède cette détection. Cette incohérence ne permet pas de calculer de manière fiable le délai entre la détection et l’information des clients. L’heure de 20 h 31 à Paris désigne ici la détection annoncée par Bitget, pas la publication de l’avis.

Des retraits toujours soumis au calendrier de reprise

Bitget a suspendu les retraits après l’incident, tout en déclarant maintenir les dépôts et le trading. Dans son avis de reprise par étapes, la plateforme affirme avoir corrigé la vulnérabilité et poursuivre les vérifications de sécurité. Elle présente le calendrier suivant, encore prévisionnel au moment de cette vérification du 26 septembre.

• 28 septembre à 10 heures, heure de Paris : BTC sur Bitcoin.
• 29 septembre à 10 heures : ETH sur Ethereum, BSC, Arbitrum, Base et Optimism.
• 30 septembre à 10 heures : USDT sur Ethereum, BSC, Solana et Tron.
• 2 octobre à 10 heures : autres jetons, monnaies classiques et services P2P, selon le regroupement de l’annonce.

Ces horaires correspondent à 8 heures UTC dans le document officiel. Ils ne prouvent pas que les retraits ont déjà repris. Bitget indique que leur disponibilité sera visible directement sur sa plateforme et qu’aucune action préalable n’est nécessaire de la part des utilisateurs.

Protection annoncée et récupération : deux sujets distincts

Dans son premier avis, Bitget affirme que son fonds de protection, alors présenté comme supérieur à 464 millions de dollars, couvre l’impact financier de l’incident. Elle assure également que les soldes des clients restent exacts. Ce sont des déclarations de la plateforme : elles ne constituent ni une vérification indépendante du financement mobilisable ni la preuve d’une restitution effective de tous les actifs.

Bitget dit travailler avec Mandiant et SlowMist sur l’enquête. Elle annonce aussi le gel d’une partie des actifs grâce à des partenaires, sans fournir dans les avis examinés un montant consolidé permettant de calculer une perte nette. Geler des fonds et les récupérer effectivement sont deux étapes différentes.

Un programme de récompenses sous conditions

Le programme annoncé prévoit une récompense de 5 % des fonds gelés pour les contributions volontaires admissibles, et de 5 % des fonds récupérés pour les actions admissibles correspondantes. Il ne faut pas en déduire une prime automatique de 10 % pour chaque participant. Bitget conserve la décision sur l’éligibilité et exclut notamment les actions exécutées dans le cadre de procédures légales.

L’utilisation annoncée du dispositif LazarusBounty de Bybit comme canal de récupération ne suffit pas à attribuer l’attaque au groupe Lazarus. Les avis étudiés n’apportent pas de démonstration publique complète du vecteur technique ni d’attribution vérifiée des responsables.

Pour replacer cet épisode dans son contexte, notre dossier Crypto : deux années sous cyberattaque distingue plusieurs mécanismes de compromission. Il évoque notamment l’affaire VOXEL de 2025 chez Bitget, qui constitue un événement différent de l’incident de portefeuilles de septembre 2026.

🔍 DUC, mon avis

La révision du bilan appelle une lecture précise : mieux comptabiliser une attaque n’est pas annoncer une deuxième attaque. À l’inverse, un fonds de protection présenté comme suffisant ne rend pas les retraits immédiatement disponibles. La sécurité technique, la couverture financière et l’accès effectif aux actifs doivent être examinés séparément.

Les prochaines preuves attendues sont concrètes : respect du calendrier de reprise, publication d’une analyse technique détaillée et bilan chiffré des fonds réellement récupérés. Les assurances de la plateforme restent à confronter à ces résultats.

En bref

• Bitget annonce une détection le 24 septembre 2026 à 20 h 31, heure de Paris.
• Le bilan passe d’environ 351,6 à 387,5 millions de dollars après élargissement du décompte.
• Selon Bitget, cette révision ne correspond pas à de nouveaux transferts non autorisés.
• Une reprise progressive des retraits est annoncée du 28 septembre au 2 octobre, sans confirmation de réalisation à ce stade.
• La couverture financière et le confinement de l’incident restent des affirmations de Bitget ; le montant net récupéré n’est pas établi ici.

Sources

Bitget — avis initial sur l’incident du 24 septembre · Bitget — bilan révisé, traçage et programme de récupération · Bitget — calendrier de reprise des retraits. Vérification effectuée le 26 septembre 2026.

✍️ DUC