Voir la table des matières Ne plus voir la table des matières
Le 21 février 2025, la plateforme d’échange Bybit a été victime du plus important vol de l’histoire des cryptomonnaies. En quelques minutes, près de 401 000 ethers, soit environ 1,5 milliard de dollars, ont quitté l’un de ses portefeuilles froids pour des adresses contrôlées par des pirates.
Un portefeuille froid désigne un dispositif de conservation maintenu hors ligne, réputé bien plus sûr qu’un portefeuille connecté en permanence à internet. Que des fonds gardés dans un tel coffre numérique aient pu être siphonnés ébranle une certitude du secteur. Comment une réserve censée être hermétique a-t-elle pu se vider en une seule opération ?
Un détournement d’une ampleur inédite
Le montant dérobé place l’affaire loin devant les précédents records. Les 401 000 ethers détournés représentaient à eux seuls environ 70 % des ethers déposés par les clients de la plateforme, un ordre de grandeur sans équivalent dans les vols antérieurs. Aucune attaque n’avait jamais vidé une telle somme en une seule opération.
L’offensive a visé un maillage technique précis. Bybit s’appuyait sur Safe, un protocole de conservation décentralisé fondé sur la signature multiple, pour valider ses transferts internes. Ce sont les mécanismes mêmes de cette validation qui ont été retournés contre l’entreprise, sans que ses propres ordinateurs soient compromis.
La signature piégée qui a tout déclenché
Le scénario tient à une manipulation d’une redoutable finesse. Le directeur général de Bybit, Ben Zhou, pensait autoriser un transfert de routine depuis un portefeuille froid vers un portefeuille chaud. L’interface affichait une adresse correcte, mais le message réellement signé modifiait la logique du contrat intelligent gouvernant la réserve en ethers.
L’origine de la faille remonte plus haut dans la chaîne. Les enquêteurs ont établi que l’environnement de développement de Safe avait été infiltré, l’appareil d’un développeur ayant d’abord été compromis par ingénierie sociale. Une fois ce point d’entrée obtenu, les assaillants ont pu altérer le code servi à l’écran au moment décisif de la signature. Par précaution, Safe a temporairement suspendu certaines fonctions de son portefeuille intelligent, tout en assurant n’avoir décelé aucune compromission de son interface officielle.
Les réponses immédiates de la plateforme
Face à l’ampleur du choc, l’équipe de Bybit a enchaîné les mesures d’urgence dans les heures qui ont suivi. Plusieurs décisions ont visé à préserver la liquidité et la confiance d’une clientèle au bord de la panique.
- La direction a rappelé l’ensemble de ses effectifs pour traiter en continu les demandes de retrait ;
- Un prêt d’urgence a été sollicité afin d’honorer les sorties de fonds malgré la perte ;
- Un outil de vérification des signatures a été développé dans l’urgence à partir des données publiques de la blockchain ;
- Les autorités de Singapour et Interpol ont été saisies pour ouvrir les investigations.
Ces gestes ont permis de tenir le premier front. La société a par ailleurs annoncé avoir reconstitué ses réserves en moins de trois jours, en partie grâce à des apports extérieurs.
Une course contre la panique des clients
La crainte d’un effet domino n’a pas tardé à se matérialiser. Les sorties de fonds cumulées ont dépassé les 4 milliards de dollars, et les actifs recensés sur les portefeuilles liés à la plateforme ont chuté d’environ 16,9 à 11,2 milliards selon la société d’analyse DeFiLlama. La ruée menaçait jusqu’à la moitié des avoirs encore présents sur l’échange.
Bybit reste solvable même si cette perte n’est jamais récupérée ; tous les actifs des clients sont garantis à un pour un, nous pouvons couvrir la perte.
Ben Zhou, directeur général de Bybit, message public du 21 février 2025
Les chiffres de traitement ont soutenu ce discours. La plateforme a affirmé avoir honoré 99,994 % de plus de 350 000 demandes de retrait dans les dix heures suivant l’attaque. Ce rythme a désamorcé la spirale de défiance qui aurait pu emporter l’entreprise.
La nature des retraits a nuancé le tableau. Nombre de clients ont préféré sortir des stablecoins plutôt que des ethers, ce qui a concentré la pression sur les réserves en dollars numériques. Bybit a maintenu que le bitcoin restait son principal actif de réserve et que ses autres portefeuilles froids n’avaient pas été touchés, un message répété par Ben Zhou lors d’une session diffusée en direct.
La piste nord-coréenne se confirme
L’attribution du vol n’a pas laissé place au doute très longtemps. Le FBI a officiellement désigné, le 26 février 2025, le groupe Lazarus comme responsable, un collectif rattaché aux services de renseignement de la Corée du Nord et déjà connu sous les noms de TraderTraitor et APT38. Ce même groupe avait été relié au détournement du réseau Ronin, l’un des plus lourds de l’écosystème. Par la même occasion, le bureau fédéral a invité les acteurs du secteur à bloquer les transactions associées aux adresses identifiées.
Le blanchiment des sommes a suivi un schéma désormais familier. Dans les jours qui ont suivi, la majeure partie des ethers volés a transité par des services de mélange destinés à brouiller l’origine des fonds. Washington avait déjà, par le passé, sanctionné des mélangeurs liés à Pyongyang, signe que le recyclage de cryptoactifs constitue un rouage central de ces opérations.
Ce que ce vol impose au secteur
L’onde de choc a ravivé un vieux débat au sein de la communauté Ethereum. Certains acteurs ont évoqué un retour en arrière de la blockchain pour annuler le vol, une idée que Ben Zhou a dit avoir soumise à Vitalik Buterin et à la Fondation Ethereum. L’hypothèse s’est heurtée à la difficulté d’obtenir un consensus sur un réseau conçu pour résister à toute réécriture.
L’épisode rappelle surtout que la sécurité d’une plateforme ne se joue pas seulement dans ses coffres. Le maillon faible s’est logé dans un outil tiers et dans un geste humain, comme lors du vol de 230 millions de dollars subi par la plateforme WazirX. Pour les échanges, l’enjeu se déplace désormais vers la vérification indépendante de chaque signature et l’audit permanent des dépendances logicielles.
