Voir la table des matières Ne plus voir la table des matières
Depuis le soir du 24 septembre, les clients de Bitget vivent une situation étrange : leurs soldes s’affichent, le trading tourne, les dépôts passent, mais aucun actif ne peut quitter la plateforme. Ce gel fait suite au piratage massif des portefeuilles chauds de l’exchange, l’un des plus lourds de l’année.
Le 26 septembre, la plateforme a enfin publié ce que ses utilisateurs attendaient : une réouverture des retraits par étapes, c’est-à-dire un retour progressif, actif par actif, de la possibilité de sortir vos fonds vers un portefeuille personnel ou une autre plateforme. La méthode est classique après un incident de sécurité, car elle permet de tester chaque réseau avant d’ouvrir le suivant. Mais que contient exactement ce calendrier, et que dit-il de la solidité réelle de Bitget ?
Un calendrier en quatre étapes, du bitcoin aux jetons secondaires
Selon le planning relayé par crypto.news, chaque ouverture intervient à 8 h UTC, soit 10 h à Paris, quatre matins de suite ou presque. Voici l’ordre retenu :
- le 28 septembre, le bitcoin, uniquement sur son réseau natif ;
- le 29 septembre, l’ether, sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism ;
- le 30 septembre, l’USDT, sur Ethereum, BNB Smart Chain, Solana et Tron ;
- le 2 octobre, les autres jetons, dont XRP, BNB et AVAX, ainsi que les services en monnaie fiat et le P2P.
L’ordre n’a rien d’un hasard : les actifs les plus détenus passent en premier, ceux qui ont été les plus touchés par le vol ferment la marche. Si vous détenez surtout du bitcoin chez Bitget, la sortie sera donc possible dès lundi ; pour les altcoins, il faudra patienter une semaine de plus.
Une facture revue à 387,5 millions de dollars
Le premier bilan faisait état de 351,6 millions de dollars sortis des portefeuilles chauds et tièdes de la plateforme. Il a depuis été relevé à 387,5 millions de dollars, après la découverte d’actifs en Zcash et en Tron dans le butin, un chiffre que Bitget juge encore susceptible d’évoluer au fil de l’enquête.
Face à ce trou, l’exchange met en avant son fonds de protection des utilisateurs, doté de plus de 464 millions de dollars. Ce matelas doit absorber la totalité des pertes sans toucher aux soldes des clients, qui n’ont pas bougé depuis l’attaque. Les stockages à froid, hors ligne, sont restés intacts et aucune clé privée n’a fuité : l’attaquant a compromis un système interne pour falsifier des ordres de transfert.
Plusieurs équipes techniques travaillent en parallèle sur la remédiation des systèmes et le renforcement de la sécurité. Nous annoncerons un calendrier dès qu’il sera confirmé : nous ne nous engagerons pas sur une fenêtre que nous ne pouvons pas garantir.
Gracy Chen, directrice générale de Bitget, message publié sur X et rapporté par CoinDesk le 25 septembre 2026, au lendemain du piratage
Le calendrier est tombé le lendemain. Reste à savoir si la plateforme tiendra les dates qu’elle a elle-même fixées, car une date repoussée pèserait plus lourd que le vol sur la confiance de ses 125 millions d’utilisateurs revendiqués. D’autant qu’une partie du butin continue de circuler librement.
Des fonds volés qui échappent au gel
Le pirate a notamment emporté près de 103 millions de XRP, répartis sur cinq comptes. D’après CoinDesk, il en avait déjà déplacé l’équivalent de 83 millions de dollars le 26 septembre, et Ripple ne peut pas bloquer sa propre monnaie : le XRP Ledger permet de geler les jetons émis sur le réseau, pas le XRP lui-même.
Les émetteurs de stablecoins ont davantage de prise. Circle et Tether ont gelé environ 318 000 dollars d’USDC et d’USDT liés à l’attaque, une goutte d’eau face aux 63 000 ethers encore dans la nature, estimés à 183 millions de dollars. Ce contraste rappelle une réalité peu confortable : un actif réellement décentralisé est aussi un actif qu’on ne rattrape pas, ce qui vaut pour les voleurs comme pour leurs victimes.
Une prime de 10 % pour remettre la main sur le butin
Pour récupérer ce qui peut l’être, Bitget a lancé un programme de récompense doté au total de 10 % : 5 % pour le gel des fonds volés, 5 % pour leur restitution. Le mécanisme vise les chasseurs de primes on-chain, les plateformes qui verraient passer des adresses suspectes et, en creux, l’attaquant lui-même.
L’enquête est confiée à Mandiant, filiale de Google spécialisée en cybersécurité, et à SlowMist. La piste d’un groupe nord-coréen est évoquée par Gracy Chen au vu des adresses IP et des services VPN utilisés, sans attribution officielle à ce stade. Le schéma rappellerait alors celui du vol subi par Bybit en février 2025, que ses 1,5 milliard de dollars rendent encore inégalé.
Ce que la file d’attente dit du risque de plateforme
Un solde qui s’affiche n’est pas un solde disponible, et l’épisode Bitget le rappelle avec une précision chirurgicale. Pendant près d’une semaine, des millions de comptes ont pu acheter et vendre, mais pas retirer. Les clients de BitMart, qui a fermé après neuf ans, ou ceux de la fermeture programmée de CoinEx ont appris la même leçon dans un autre registre.
Le mois de septembre aligne d’ailleurs les alertes. Le pont Liquid a perdu 3 996 bitcoins début septembre, et le vol de Bitget le dépasse désormais en montant. Pour un patrimoine construit sur plusieurs années, la question n’est plus seulement de choisir le bon actif, mais de décider quelle part laisser chez un tiers.
La réponse tient souvent dans une répartition simple : une poche de trading sur plateforme, et le cœur de l’épargne en auto-conservation, sur un portefeuille dont vous détenez les clés. Cette discipline coûte un peu de confort, mais elle transforme un gel de retraits en simple contretemps.
Le 2 octobre, vrai test de confiance
Les dates du 28 au 30 septembre concernent les actifs les plus liquides, ceux que Bitget peut honorer sans difficulté grâce à ses réserves. La journée du 2 octobre sera plus révélatrice, car elle rouvre les jetons directement visés par le vol et les rails en monnaie fiat, là où une sortie massive mettrait la trésorerie à l’épreuve.
Le rapport technique promis par la plateforme dira comment la faille a été ouverte. Il ne dira pas combien de clients choisiront de rapatrier leurs avoirs dès la réouverture, et ce mouvement de retraits sera le vrai verdict sur la confiance que le marché accorde encore aux grandes plateformes centralisées.
