Hack Bitget Et Thorchain Face Au Vol De Fonds

Quand un exchange annonce que des centaines de millions de dollars viennent de quitter ses coffres, le réflexe immédiat consiste à courir après l’argent. Cette fois, la course a pris une tournure plus politique que technique. Bitget a demandé publiquement à THORChain de refuser le service aux adresses liées à son piratage. Le protocole a répondu que son architecture n’est pas une police des transactions. Entre ces deux phrases, c’est toute une industrie qui se retrouve à devoir dire si un pont interchaînes a le droit, ou le devoir, de fermer la porte à des fonds déjà identifiés comme volés.

Ce Que Révèle Le Bras De Fer Autour Des Fonds Volés

Le 24 septembre, Bitget a constaté des transferts non autorisés depuis son infrastructure de portefeuille. L’échange a d’abord évoqué environ 351,6 millions de dollars, puis a relevé le chiffre à près de 387,5 millions après avoir recensé des mouvements supplémentaires sur Zcash et TRON. Les actifs concernés ne se limitaient pas à une seule chaîne. Ethereum et plusieurs réseaux EVM, le XRP Ledger, Zcash et TRON figuraient parmi les rails utilisés. XRP, ETH, USDT, ZEC, USDC, BNB, AVAX et TRX apparaissent dans la liste des tokens déplacés.

Deux jours plus tard, la PDG Gracy Chen a rendu public un message très direct. Les adresses de l’attaquant étaient listées, suivies, et Bitget demandait formellement à THORChain de leur refuser le service. La formule choisie était volontairement tranchante. La décentralisation, selon elle, est un principe de conception, pas un bouclier pour faire circuler des fonds déjà connus comme volés. L’industrie, ajoutait-elle, regardait.

La décentralisation est un principe de conception, pas un bouclier pour faciliter la circulation de fonds volés déjà identifiés. L’industrie observe.

Gracy Chen, Bitget

Une Demande Qui Sort Du Cadre Habituel Des Enquêtes

Les échanges piratés ont l’habitude de travailler avec des sociétés d’analyse on-chain, des émetteurs de stablecoins et parfois des autorités. Demander à un protocole de swaps interchaînes de refuser le service à des adresses précises change la nature de la conversation. Il ne s’agit plus seulement de geler des USDT ou des USDC chez un émetteur centralisé. Il s’agit de demander à un réseau présenté comme permissionless d’agir comme un filtre.

Bitget a précisé que les clés privées n’avaient pas été compromises, que les cold wallets étaient restés intacts et que le produit Bitget Wallet n’était pas touché. L’attaquant aurait pris le contrôle d’un système backend critique de l’infrastructure de portefeuille, puis déclenché des transferts. Mandiant et SlowMist participent à l’enquête. Un bounty a été lancé : 5 % pour toute action permettant de geler efficacement des actifs, 5 % supplémentaires pour les fonds réellement récupérés.

Pourquoi Les Fonds Ont Traversé THORChain

Un pirate qui sort d’un exchange cherche deux choses : de la liquidité et de l’opacité. THORChain propose des swaps natifs entre chaînes sans enveloppe wrapped classique. C’est précisément ce qui en fait un outil utile pour convertir, par exemple, des actifs EVM ou TRON vers du bitcoin. AMLBot a déjà suivi environ 4 BTC liés à l’incident après un parcours TRON, USDT0, Ethereum, THORChain, puis Bitcoin, avant une entrée dans un CoinJoin Wasabi.

Ce trajet n’est pas une anecdote. Il montre que le protocole n’est pas un simple spectateur. Il est devenu un maillon de la chaîne de conversion. D’où la pression. Si un pont sert de sas entre des fonds marqués et un mixeur, beaucoup d’acteurs estiment qu’il ne peut plus se contenter de dire qu’il est neutre comme Bitcoin.

La Réponse De THORChain Sur Le Halt D’Urgence

THORChain a distingué deux gestes que l’opinion publique a tendance à confondre. Un halt d’urgence protège le protocole lui-même. Un gel sélectif d’adresses revient à tenir une liste noire. Selon le réseau, le premier existe. Le second n’est pas son métier.

Le protocole a comparé sa situation à celle de Bitcoin, d’Ethereum ou de BNB Chain. Si ces réseaux traitent des transactions impliquant des fonds volés connus, quelle responsabilité exacte leur attribue-t-on ? La question est rhétorique, mais elle vise un point sensible. Beaucoup d’utilisateurs acceptent qu’une L1 ne censure pas. Ils sont plus mal à l’aise quand un système de vaults signés collectivement fait le même choix.

Un arrêt d’urgence du réseau est un mécanisme de sécurité destiné à protéger le protocole. Ce n’est pas un gel sélectif de fonds précis ni d’un swap individuel.

THORChain

Cette formulation a le mérite d’être claire. Elle a aussi le défaut d’ouvrir un autre front. Car THORChain a déjà montré, plus tôt dans l’année, qu’il savait interrompre des fonctions. Le souvenir de mai 2026 n’a pas disparu.

Le Précédent De Mai Et Les Vaults Contrôlés Par Les Validateurs

Le 15 mai, un exploit a drainé environ 10,7 millions de dollars depuis l’un des cinq vaults du protocole. Un opérateur de nœud malveillant a profité d’une faiblesse du schéma de signatures GG20. Des contrôles automatiques de solvabilité ont détecté un déséquilibre, puis ont interrompu la signature et le trading sur plusieurs chaînes. Les opérateurs ont ensuite coordonné des mesures d’arrêt plus larges.

Le réseau est resté hors service plus d’un mois. La version 3.19.0 s’inscrivait dans un plan de redémarrage en onze étapes, avec quarantaine des vaults compromis et vérifications temporaires des keyshares avant toute reprise de signature. Les swaps n’ont repris que le 23 juin. Ce calendrier sert aujourd’hui d’argument à ceux qui disent : vous savez arrêter la machine, donc vous pouvez aussi filtrer des adresses.

THORChain répond implicitement que savoir arrêter pour protéger l’intégrité du protocole n’équivaut pas à construire un bureau des sanctions. L’un est un coupe-circuit. L’autre est une politique de conformité appliquée à des utilisateurs nommés.

GoPlus Conteste La Comparaison Avec Bitcoin Et Ethereum

GoPlus Security a publié le 27 septembre une critique frontale. Selon la société, THORChain n’a jamais été strictement décentralisé au sens d’une L1 où chacun détient ses clés et où les validateurs ne custodient pas collectivement les actifs. Les vaults TSS placent le set de validateurs actifs dans une position particulière. Ils contrôlent collectivement les coffres et signent les transactions sortantes.

GoPlus insiste aussi sur l’existence de mécanismes documentés : pauses, halts par chaîne, votes coordonnés. Sur Bitcoin ou Ethereum, un validateur ne détient pas les fonds des utilisateurs dans un vault de protocole. Ici, la garde est partagée. Cette différence d’architecture, dit la société, interdit une analogie trop commode.

Le ton de GoPlus n’était pas uniquement académique. La société a accusé le protocole de prendre des frais de swap sur des fonds volés et de faire courir un risque réputationnel à tout le secteur. C’est le type de phrase qui transforme un débat d’architecture en procès public.

La Contre-Lecture De Michael Perklin

Michael Perklin, figure connue de la sécurité crypto et soutien de THORChain, a rejeté l’idée que le threshold signing revienne à une approbation humaine transaction par transaction. Les nœuds, selon lui, participent à un processus automatisé. Leur vrai levier n’est pas de dire oui ou non à un swap précis. C’est d’éteindre la machine.

Il compare cela à un mineur Bitcoin ou à un validateur Ethereum qui coupe son infrastructure pour éviter de traiter certaines transactions. Dans les trois cas, il n’y aurait pas de choix actif de signer une opération individuelle, seulement le choix actif d’arrêter le matériel. Couper pour bloquer le crime, ajoute-t-il, couperait aussi les flux légitimes.

Dans les trois cas, il n’y a pas de choix actif de signer, seulement un choix actif d’éteindre la machine.

Michael Perklin

Cette analogie plaît à ceux qui voient THORChain comme une infrastructure publique neutre. Elle irrite ceux qui considèrent que la garde collective des vaults crée une responsabilité supérieure à celle d’un mineur de Bitcoin.

L’Ombre Du Hack Bybit De 2025

Le débat actuel n’arrive pas dans un désert. Après le piratage de Bybit en 2025, des attaquants ont massivement utilisé THORChain pour convertir de l’ether volé en bitcoin. Le protocole a enregistré 2,91 milliards de dollars de volume et environ 3 millions de dollars de frais liés à cette activité. Un core developer est parti après qu’une proposition visant à bloquer les transactions de l’attaquant n’ait pas obtenu le soutien des opérateurs de nœuds.

Ce précédent pèse lourd. Il dit deux choses à la fois. Premièrement, le réseau a déjà été un corridor privilégié pour des fonds issus d’un grand vol. Deuxièmement, la gouvernance par les nœuds a déjà refusé une liste noire ciblée. Bitget le sait. GoPlus le sait. Les défenseurs du permissionless le savent aussi.

Ce Que Bitget Peut Faire Sans THORChain

L’exchange n’est pas démuni. Circle et Tether avaient déjà gelé environ 318 000 dollars d’USDC et d’USDT liés à l’incident au 26 septembre. Ce montant est dérisoire face à 387,5 millions, mais il rappelle où le gel est réellement opérationnel : chez des émetteurs qui contrôlent des listes. Bitget travaille aussi avec des firmes de tracing et restaure progressivement les retraits. Bitcoin le 28 septembre, ETH le 29, USDT le 30, puis les autres tokens, le fiat et le P2P le 2 octobre.

Cette chronologie de réouverture est un signal destiné aux clients. Elle dit que la faille backend a été identifiée et corrigée. Elle ne dit pas que l’argent reviendra. Dans la plupart des grands vols, la récupération se joue sur des fractions, des accords, des gels ponctuels, rarement sur un retournement complet de la chaîne.

Permissionless Contre Devoir De Diligence

Le mot permissionless est devenu un totem. Il signifie qu’aucune autorité interne ne décide qui a le droit d’utiliser le réseau. Dans un monde où les fonds volés sont étiquetés en quelques heures, ce totem entre en collision avec une autre exigence : ne pas devenir le dernier maillon visible d’une filière de blanchiment.

Les plateformes centralisées peuvent geler. Les émetteurs de stablecoins peuvent geler. Les mixeurs sont déjà dans le viseur des régulateurs. Les ponts interchaînes occupent une zone grise. Trop décentralisés pour obéir comme un exchange, trop custodiaux dans leur mécanique interne pour ressembler à Bitcoin. C’est exactement cette zone que le cas Bitget éclaire.

On peut défendre la neutralité jusqu’au bout. On peut aussi reconnaître qu’une infrastructure qui signe collectivement des sorties n’est pas un simple relais passif. Les deux lectures sont cohérentes. Elles ne sont simplement pas compatibles.

Ce Que Change Un Gel Sélectif S’Il Existait

Imaginons que THORChain accepte la demande. Les nœuds votent un refus de service pour une liste d’adresses. Plusieurs conséquences suivraient. D’abord, le pirate changerait de route. Ensuite, chaque nouveau vol donnerait lieu à une nouvelle liste. Enfin, le protocole deviendrait un interlocuteur politique. Qui décide qu’une adresse est assez « connue » pour être bloquée ? Un exchange ? Une société d’OSINT ? Un régulateur ?

Le permissionless meurt rarement d’un seul vote. Il s’érode par accumulation de cas exceptionnels. C’est l’argument le plus sérieux des défenseurs de THORChain, même si on peut le trouver inconfortable après un vol de cette taille.

Ce Que Change Un Refus Total De Filtrer

L’autre scénario n’est pas plus confortable. Si le réseau refuse systématiquement, il s’installe une réputation de corridor pour fonds tachés. Les market makers institutionnels hésitent. Les agrégateurs se distancient. Les régulateurs classent le protocole dans une catégorie à risque. Les frais gagnés sur des flux toxiques peuvent coûter plus cher que leur montant.

Le cas Bybit l’avait déjà montré. Le volume explose, les frais aussi, puis le débat interne déchire l’équipe. Un développeur part. La communauté reste divisée. Le code continue. L’image, elle, se fissure.

La Mécanique TSS Expliquée Sans Jargon Inutile

Le threshold signature scheme permet à un groupe de produire une signature valide sans qu’une seule partie détienne la clé complète. C’est élégant. Cela réduit le point unique de défaillance. Cela crée aussi une forme de garde partagée. Les vaults ne sont pas des comptes utilisateurs autonomes. Ce sont des coffres du protocole, actionnés par le set actif.

Quand GoPlus dit que TSS n’est pas un consensus de couche de base, elle pointe cette différence. Bitcoin valide des transactions dont les utilisateurs restent seuls maîtres de leurs clés. THORChain déplace des actifs qui, le temps du swap, vivent sous une signature collective. La nuance paraît abstraite jusqu’au moment où quelqu’un demande un blocage.

Halts, Pauses, Votes : Des Outils Déjà Écrits

Le protocole dispose de leviers d’arrêt. Ils ont servi en mai. Ils existent par chaîne. Ils peuvent être coordonnés. La controverse n’est donc pas « pouvez-vous techniquement interrompre quelque chose ? ». La réponse est oui. La controverse est « devez-vous interrompre au nom d’un exchange lésé ? ».

Cette distinction évite un faux procès. Personne de sérieux ne prétend que THORChain est incapable d’agir. La question porte sur le mandat. Un coupe-circuit de solvabilité n’est pas une cellule de conformité. Transformer l’un en l’autre changerait le contrat social du réseau.

Les Clients De Bitget Attendent Autre Chose Que De La Philosophie

Pour un utilisateur qui ne peut plus retirer, le débat sur le permissionless sonne lointain. Il veut savoir si son solde est couvert, si les retraits reprennent, si l’exchange assume. Bitget a commencé à rouvrir les sorties par vagues. C’est le geste le plus concret pour sa base. Le bounty, lui, s’adresse aux chasseurs de fonds.

Les échanges qui survivent à un incident de cette ampleur le font rarement grâce à un pont qui accepte de censurer. Ils le font grâce à des réserves, à une communication maîtrisée, à des partenaires capables de geler ce qui peut encore l’être, et à une remise en état visible de l’infrastructure.

Une Cartographie Des Responsabilités Qui Se Cherche Encore

Qui est responsable quand de l’argent volé traverse cinq chaînes en quelques heures ? L’exchange dont le backend a cédé. Le protocole qui a fourni de la liquidité. Le mixeur qui a brouillé la trace. L’émetteur qui n’a pas gelé assez vite. On peut désigner tout le monde. On peut aussi admettre que la chaîne de responsabilité est devenue trop longue pour coller à d’anciens réflexes bancaires.

C’est pour cela que le message de Gracy Chen a porté. Il simplifie. Il désigne un acteur. Il demande un geste visible. Les protocoles détestent ce type de simplification, parce qu’elle transforme une architecture en prétoire.

Ce Que Les Prochains Jours Diront Vraiment

Il faudra suivre trois indicateurs plus parlants que les threads. Premier indicateur : le volume THORChain associé aux adresses marquées. S’il continue, le refus n’est pas seulement théorique. Deuxième indicateur : d’éventuels votes de nœuds, même informels. Troisième indicateur : la part des fonds réellement gelée hors du protocole, chez les émetteurs et les contreparties centralisées.

Si ces trois lignes bougent peu, le conflit restera un échange d’arguments. S’ils bougent fort, il deviendra un précédent. Les précédents, en crypto, finissent souvent dans les documents de gouvernance des protocoles suivants.

Le Secteur Regarde Parce Qu’Il Se Reconnaît

Chaque pont, chaque DEX interchaînes, chaque vault partagé se sait potentiellement le prochain destinataire d’une lettre ouverte. Le cas Bitget n’est pas seulement l’histoire d’un exchange et d’un protocole. C’est un test grandeur nature du slogan « code is law » appliqué à des fonds déjà étiquetés par toute une industrie de la compliance.

Certains concluront qu’il faut plus de listes. D’autres concluront qu’il faut plus de neutralité, quitte à en payer le prix réputationnel. Les deux camps ont des exemples. Aucun n’a de solution qui protège à la fois les victimes, les utilisateurs honnêtes et le principe d’ouverture.

Une Lecture Plus Large Que Le Seul Couple Bitget-THORChain

Les vols d’exchanges ont changé de visage. Moins souvent une clé froide extraite d’un coffre physique, plus souvent une prise de contrôle d’un système interne capable d’ordonner des sorties. Bitget affirme que les clés n’ont pas fuité. Cela n’empêche pas l’argent de partir. Cette bascule rend le tracing plus urgent et les ponts plus exposés, parce que les fonds sont encore « propres » en apparence au moment où ils quittent la plateforme.

Les outils d’analyse on-chain réduisent le délai entre le vol et l’étiquette. Ce délai plus court augmente la pression morale sur les protocoles. Hier, on découvrait l’adresse trois semaines plus tard. Aujourd’hui, on la tweet deux jours après, avec une demande formelle jointe.

Pourquoi Les Analogies Bancaires Trompent

Comparer THORChain à une banque, c’est demander un gel comme on le demanderait à un correspondant. Comparer THORChain à Bitcoin, c’est refuser ce gel comme on refuserait qu’un mineur choisisse ses clients. Les deux analogies clochent. Le protocole n’ouvre pas de compte KYC. Il ne se contente pas non plus de relayer des UTXO dont il n’a jamais eu la garde.

Le débat gagnerait à abandonner ces raccourcis. Il porte sur une catégorie encore mal nommée : les infrastructures de liquidité interchaînes à signature collective. Tant que le vocabulaire restera bancaire ou maximaliste, les camps parleront sans s’entendre.

Ce Que Les Nœuds Risquent En Restant Neutres

Les opérateurs peuvent estimer qu’ils n’approuvent rien individuellement. Cela ne les protège pas forcément d’une lecture juridique future, surtout s’ils sont identifiables et situés dans des juridictions exigeantes. Le risque n’est pas seulement éthique. Il est opérationnel. Un nœud peut juger plus sûr d’éteindre que de continuer à signer dans un climat de dénonciation publique.

Si assez de nœuds éteignent, le réseau se retrouve avec un halt de fait, sans avoir voté une liste noire. Ce serait une ironie. La neutralité affichée produirait l’interruption que Bitget demande, mais de manière plus brutale, en touchant tout le monde.

Ce Que Les Nœuds Risquent S’Ils Filtrent

Filtrer, c’est accepter d’être le point d’entrée des prochaines demandes. Après Bitget viendrait un autre exchange, puis une agence, puis un litige civil. Le set de validateurs se transformerait en comité. Les attaques de gouvernance suivraient. Un attaquant n’aurait plus seulement à voler. Il pourrait aussi chercher à faire censurer un concurrent.

C’est l’argument le plus froid, et peut-être le plus solide, contre le geste demandé par Chen. Une fois que l’on commence à choisir les adresses, on ne s’arrête plus pour des raisons morales. On s’arrête pour des raisons de rapport de force.

Le Rôle Ambigu Des Frais De Swap

GoPlus a insisté sur les frais. L’accusation porte parce qu’elle est simple. Si le réseau gagne de l’argent sur un flux volé, il paraît complice. Les défenseurs répondent que Bitcoin gagne aussi des frais sur des transactions criminelles, et que personne n’enjoint les mineurs à les rembourser. Encore une analogie imparfaite, mais efficace dans le camp permissionless.

Le montant des frais n’est pas le vrai sujet. Le vrai sujet est la visibilité. Un mineur est anonyme dans la masse. Un protocole de swaps, lui, affiche des tableaux de volume. Quand 2,91 milliards passent après Bybit, tout le monde voit le chiffre. La moralité publique se nourrit de chiffres ronds.

Bitget, La Communication Et La Pression Morale

En rendant la demande publique, Bitget a choisi le levier de la réputation plutôt que celui d’une négociation discrète. C’est compréhensible. Après un vol de cette taille, l’exchange doit montrer qu’il poursuit chaque piste. Une lettre ouverte sert aussi à ses clients, à ses partenaires, à ceux qui se demandent s’il subit en silence.

Cette stratégie a un coût. Elle polarise. Elle force THORChain à répondre en public, donc à durcir sa doctrine. Une discussion privée entre équipes de sécurité aurait pu explorer des mesures limitées, un halt temporaire sur une chaîne précise, une coopération sur le tracing. Le théâtre Twitter rend ces compromis plus difficiles.

Les Limites Du Tracing Même Quand Il Est Excellent

Suivre 4 BTC jusqu’à Wasabi est un exploit d’analyste. Cela ne rend pas l’argent récupérable. Un CoinJoin casse précisément ce que le tracing construit. Plus les fonds avancent vers des outils de mélange, plus la demande adressée à THORChain arrive tard. Bloquer aujourd’hui un sas déjà traversé hier ne ramène pas les pièces.

D’où une question embarrassante. La requête de Bitget est-elle surtout rétroactive, donc symbolique, ou vise-t-elle des flux encore en cours ? Si des adresses restent actives sur le protocole, le débat technique a un objet. Si elles sont déjà ailleurs, il devient un conflit de principes.

Une Industrie Encore Sans Doctrine Commune

Il n’existe pas de charte partagée sur ce qu’un pont doit faire face à des fonds volés documentés. Chaque incident invente sa jurisprudence. Tantôt un émetteur gèle. Tantôt un validator set hésite. Tantôt un core dev démissionne. Cette improvisation fatigue les équipes et nourrit les régulateurs, qui y voient la preuve qu’il faut imposer des règles depuis l’extérieur.

Les protocoles qui veulent rester ouverts auraient intérêt à écrire noirs sur blanc ce qu’ils feront et ne feront pas. Pas pour plaire. Pour cesser de redébattre à chaque hack. Une doctrine claire, même contestée, vaut mieux qu’une série de threads contradictoires.

Ce Que Les Utilisateurs De Swaps Devraient Retenir

Pour un utilisateur ordinaire, la leçon n’est pas de boycotter ou d’encenser THORChain. C’est de comprendre qu’un swap interchaînes n’est pas magiquement neutre au sens moral, même s’il l’est au sens d’accès. Les fonds que l’on croise dans un pool ont une histoire. Cette histoire peut, un jour, devenir un halt, une polémique, une perte de liquidité temporaire.

Le risque n’est pas seulement celui du pirate. C’est aussi celui de l’arrêt collectif, celui de la fuite de LP, celui d’un spread qui s’évapore quand le récit médiatique tourne au procès.

Une Conclusion Provisoire, Parce Que L’Argent Continue De Bouger

Bitget a perdu des fonds, a relevé le montant, a listé des adresses et a demandé un geste. THORChain a rappelé qu’un halt n’est pas une liste noire. GoPlus a contesté l’analogie avec les L1. Perklin a défendu l’automatisation des nœuds. Les clients, eux, regardent surtout la file des retraits qui se rouvre.

Le reste est une question de doctrine. Soit les ponts à vaults collectifs restent des infrastructures ouvertes jusqu’à l’inconfort, soit ils deviennent des filtres à la demande des victimes les plus visibles. Les deux voies ont un prix. Celle qui sera choisie dans les prochaines semaines ne concernera pas seulement RUNE, ni seulement Bitget. Elle dira comment le secteur entend habiter l’espace situé entre la banque et Bitcoin, cet espace où l’argent change de chaîne plus vite que les règles ne changent de camp.