Bitget : 6,3 M$ blanchis via THORChain, le vrai débat

Temps de lecture : 4 min

Ce que les chiffres ne disent pas seuls, c’est la mécanique du contournement

Le 24 septembre 2026, Bitget subit une brèche. Un attaquant siphonne des fonds. Très vite, un wallet identifié comme lié à l’attaquant commence à convertir de l’ETH en BTC via THORChain. 27 swaps, 2 390 ETH échangés contre 75,2 BTC. La plupart des ordres font environ 100 ETH chacun, soumis entre 03:55 et 06:23 UTC. Deux ordres sont partiellement remplis car les prix ne correspondaient pas aux minimums requis ; environ 114 ETH sont renvoyés à l’expéditeur. Pendant que je rédige, 400 ETH supplémentaires sont en attente. Ce n’est pas une anomalie de marché. C’est une démonstration opérationnelle.

La plupart des analyses s’arrêtent là. Moi non.

Pourquoi THORChain ? Parce que le protocole permet d’échanger des actifs sur des blockchains différentes sans passer par une plateforme centralisée. L’ETH entre dans le réseau de swap, le BTC ressort sur une adresse Bitcoin. Mais tout reste visible on-chain. Les enquêteurs peuvent suivre les mouvements, même si la chaîne change. Ce n’est pas du mixage, c’est un pont.

En pratique, ça donne quoi ? Un utilisateur — ici l’attaquant présumé — obtient une couche de séparation entre la source des fonds et la destination. Pas d’anonymat parfait, mais un délai et une complexité qui compliquent le recouvrement. C’est précisément là que ça se complique.

La requête de Bitget et le refus de THORChain

Bitget a demandé à THORChain de bloquer les adresses identifiées comme appartenant à l’attaquant. Gracy Chen, PDG de Bitget, a publiquement argumenté : « La décentralisation est un principe de conception, pas un bouclier pour faciliter des fonds volés connus. »

THORChain a refusé. Dans sa réponse publique, l’équipe explique que son contrôle d’urgence peut arrêter tout le réseau ou restreindre une blockchain connectée, mais qu’il ne peut pas geler un swap individuel ni des fonds spécifiques. Autrement dit : soit on coupe tout, soit on ne coupe rien. Une position technique qui a des implications politiques.

GoPlus, une société de sécurité, a contesté cette version. Selon elle, les mécanismes décrits dans la documentation de THORChain — votes des validateurs, contrôles de signature, pauses par chaîne — offrent des moyens d’intervention ciblée. Le débat est technique, mais il cache une question de gouvernance : qui décide de ce qui est « propre » ou « sale » sur un réseau sans permission ?

Attention : ce que je vais écrire va à l’encontre du consensus. Beaucoup attendent de la DeFi qu’elle soit « propre ». C’est une illusion. La DeFi est un ensemble de règles mathématiques et de jeux d’incitations. Elle n’a pas de police intégrée. Ceux qui veulent une police doivent accepter les intermédiaires centralisés et leurs coûts.

Bitget révise son estimation et lance un bounty

Bitget avait d’abord estimé les pertes à 351,6 M$. Après avoir inclus des actifs Zcash et TRON omis, le chiffre passe à 387,5 M$. L’augmentation ne vient pas de nouveaux vols, mais d’un examen plus complet. La plateforme a détecté les transferts non autorisés à 18:31 UTC le 24 septembre et a suspendu les retraits. Les cold wallets sont restés sécurisés, selon Bitget. Mandiant et SlowMist assistent l’enquête.

Bitget n’a pas publié de récit complet sur la manière dont l’attaquant a pénétré ses systèmes. C’est un angle mort. En finance traditionnelle, une telle opacité déclencherait des enquêtes réglementaires immédiates. Dans la crypto, elle passe souvent inaperçue.

Pour tenter de récupérer les fonds, Bitget a annoncé un programme de primes : 5% pour les efforts éligibles qui gèlent et récupèrent les actifs volés. Les adresses de l’attaquant sont publiées sur Ethereum, XRP Ledger, Zcash et TRON, avec un tableau de suivi. Les travaux sous ordonnance judiciaire ou demande des forces de l’ordre ne sont pas éligibles.

Circle a gelé 99 990 USDC liés à l’attaque. Tether a gelé 218 023 USDT. Ces gels concernent des soldes identifiés en stablecoins, pas les swaps ETH-BTC. Bitget a aussi évoqué une future activité aux États-Unis, avec des licences à obtenir.

Je préfère me tromper avec des données plutôt qu’avoir raison avec des intuitions : le gel des stablecoins est une preuve que la centralisation peut frapper vite. Mais l’attaquant a converti en BTC, hors de portée de Tether et Circle. C’est un signal fort : les stablecoins ne sont pas la seule monnaie de sortie.

Réouverture progressive et précédent de mai 2026

Bitget a planifié une réouverture par étapes. Les retraits BTC sur le réseau Bitcoin devaient reprendre le 28 septembre à 08:00 UTC. Les retraits ETH sur Ethereum, BNB Smart Chain, Arbitrum, Base et Optimism étaient prévus le 29 septembre. Les retraits USDT sur Ethereum, BNB Smart Chain, Solana et TRON le 30 septembre. Les autres jetons, services fiat et P2P arriveront dans une phase finale le 2 octobre.

Ce n’est pas la première fois que THORChain est au cœur d’une crise. En mai 2026, un attaquant a pris environ 10,7 M$ dans un vault. Les opérateurs ont arrêté le réseau, les développeurs ont corrigé la vulnérabilité, et le trading a repris en juin après environ cinq semaines. Les adresses de l’attaquant de mai n’ont pas été blacklistées individuellement. Un parallèle frappant.

En finance traditionnelle, une banque peut geler un compte sur ordre d’un régulateur. Sur THORChain, il n’y a pas de régulateur central. Il y a des validateurs, des votes, et une communauté. Le refus de bloquer une adresse spécifique est cohérent avec l’architecture. Mais il crée un précédent : tout hackeur sait désormais qu’il peut utiliser THORChain pour convertir des fonds sans risque d’être ciblé individuellement.

Est-ce un problème ? Oui, si l’on attend de la DeFi qu’elle remplace la finance traditionnelle sans en accepter les compromis. Non, si l’on comprend que la DeFi est un outil neutre, qui reflète les intentions de ses utilisateurs.

La question n’est pas « THORChain a-t-il eu raison ? ». La question est : « Quelle gouvernance voulons-nous pour les protocoles décentralisés ? » Et cette question, aucun régulateur ne peut y répondre à notre place.

Source : analyse des transactions THORChain, déclarations publiques de Bitget et THORChain, rapports AMLBot et GoPlus. Les données on-chain sont vérifiables ; les estimations de pertes reposent sur les chiffres communiqués par Bitget.