Que s'est-il passé cette semaine ?
L'exchange Bitget a confirmé un incident de sécurité. Selon BitHub.pl, il a détecté des transferts non autorisés depuis une partie de ses hot wallets le 24 septembre 2026 à 20h31 heure polonaise, le préjudice estimé tournant autour de 350 millions de dollars (BitHub.pl). La directrice générale Gracy Chen a ensuite indiqué que l'enquête préliminaire avait révélé des adresses IP correspondant à un choix de VPN associé au groupe de hackers nord-coréen (Cointelegraph).
La seconde moitié de l'histoire n'a commencé qu'après le vol. Selon Cointelegraph, THORChain ne veut pas (ou ne peut pas) bloquer les adresses liées au hack, chiffré dans ce texte à 387,5 millions de dollars, ce qui ouvre la question de savoir si les développeurs peuvent être poursuivis pour blanchiment d'argent (Cointelegraph).
Nous avons délibérément placé ici trois chiffres différents : environ 350 millions, 352 millions et 387,5 millions de dollars. Ce n'est pas une erreur, mais la première leçon. L'estimation du préjudice change au cours des premières heures et des premiers jours selon qui compte, à quel moment et combien d'adresses ont déjà été intégrées au calcul.
Quel chiffre a bougé en premier et que signifie-t-il ?
Ce n'est ni le prix ni le titre qui ont bougé en premier. C'est la sortie des hot wallets.
Le hot wallet d'un exchange (l'adresse depuis laquelle l'exchange gère les retraits courants) est public. Quand des fonds commencent à en sortir en dehors du schéma habituel, cela se voit sur la blockchain avant que quiconque ait le temps d'annoncer quoi que ce soit. Dans le cas de Bitget, l'écart entre la détection et l'annonce se compte littéralement en minutes : l'heure de détection, le 24 septembre à 20h31 heure polonaise, est selon BitHub.pl le moment où les attaquants ont été repérés, tandis que la communication officielle n'est venue qu'ensuite (BitHub.pl).
Pourquoi est-ce important ? Parce que l'ordre des chiffres renseigne sur la cause.
| Chiffre | Moment | Ce que cela dit | Source |
|---|---|---|---|
| Sortie non autorisée des hot wallets | 24/09/2026, 20h31 PL | Premier signal observable que quelque chose se passe | BitHub.pl |
| Estimation du préjudice ~350 à 387,5 M USD | heures à jours après | Change à mesure que s'ajoutent les adresses intégrées | BitHub.pl, Cointelegraph |
| Traces IP vers le groupe de RPDC | après enquête préliminaire | Indice sur l'auteur, pas une preuve | Cointelegraph |
Le signal on-chain (la sortie) est une observation dure. L'estimation du préjudice est un calcul qui mûrit. L'attribution (qui est derrière) est la couche la plus molle, car une IP via VPN est un indice, pas une confirmation.
Que retenir pour la prochaine fois ?
Trois habitudes pratiques pour lire les données, aucun conseil d'achat ou de vente.
1. Lors d'un incident d'exchange, surveillez la sortie, pas le titre. Les adresses publiques des exchanges sont observables en temps réel. Les annonces officielles arrivent avec retard et atténuent souvent les formulations. Si vous voulez savoir ce qui s'est passé, regardez le mouvement des fonds, pas le ton des déclarations.
2. Partez du principe que le premier chiffrage du préjudice va changer. L'écart entre 350 et 387,5 millions n'est pas une contradiction, mais une évolution naturelle de l'estimation. Prenez le premier chiffre comme une borne inférieure à l'instant t, pas comme un verdict définitif.
3. La résistance à la censure a deux faces. Que THORChain ne bloque pas les adresses est pour les uns une qualité (personne ne vous gèle vos fonds), pour les autres un problème (personne ne gèle non plus les fonds volés). La même propriété technique a deux visages selon le côté de la transaction où vous vous trouvez (Cointelegraph).
Pour le contexte du marché : la semaine où tout cela se jouait, le Bitcoin se tenait selon Cointelegraph aux alentours de 84 000 dollars (Cointelegraph). Nos propres mesures montraient le BTC autour de 84 000 dollars (+0,9 % sur 24 h), un régime NEUTRAL et un Fear & Greed à 74. Autrement dit : un hack de cette ampleur ne s'est traduit par aucune secousse visible du marché au sens large. Cela en soi est une observation, pas une cause.
Que ne savons-nous pas encore ?
- Le préjudice final exact. Les chiffres diffèrent dans nos sources (~350 à 387,5 M USD) et le total définitif n'est pas connu.
- Qui a mené l'attaque. Les traces IP vers le groupe de RPDC sont un indice issu de l'enquête préliminaire, pas une attribution prouvée (Cointelegraph).
- Si les développeurs de THORChain seront poursuivis. Selon l'avocat cité, la situation juridique est floue et la réponse n'existe pas encore (Cointelegraph).
- Combien de fonds pourront être récupérés. Au moment de la rédaction, cela ne peut être chiffré de manière fiable à partir des sources disponibles.
La leçon est finalement simple. Dans les incidents crypto, la vérité apparaît par couches : d'abord le signal on-chain dur, puis l'estimation qui mûrit, enfin l'attribution incertaine. Celui qui ne confond pas ces couches lit le marché plus précisément que celui qui attend le titre.