Hacker Bitget Déplace 78,6 M$ En Bitcoin Via CoinJoin

Imaginez un instant que plus de mille bitcoins disparaissent discrètement de portefeuilles surveillés, jour après jour, sans fanfare ni annonce spectaculaire. C’est exactement ce qui s’est produit ces derniers jours. Entre le 6 et le 11 novembre 2026, le pirate à l’origine de l’attaque contre Bitget a fait sortir 1 052,34 BTC, soit environ 78,61 millions de dollars au cours du moment. Une grande partie de ces fonds a emprunté un chemin particulièrement opaque : le CoinJoin. Et ce n’est pas une petite proportion. Plus de 80 % des bitcoins déplacés ont rejoint des transactions de ce type.

Un Mouvement Massif Et Méthodique Sur Six Jours

Les données publiées par Arkham Intelligence dessinent un tableau précis. Les sorties ont commencé le 6 novembre avec 137,71 BTC, valorisés à 10,47 millions de dollars. Le lendemain, le volume est monté à 156,04 BTC. Puis est arrivé un creux le 8 novembre, avec seulement 16,75 BTC. Ensuite, l’accélération a repris de plus belle : 206,31 BTC le 9, 238,79 BTC le 10, et enfin 296,74 BTC le 11 novembre avant midi UTC. Ce dernier jour représente à lui seul plus du double du volume du premier jour de la période.

Sur l’ensemble de la semaine, 847,26 BTC, soit 63,43 millions de dollars, sont entrés dans 66 transactions CoinJoin. C’est environ 80,5 % de tout ce qui a quitté les portefeuilles étiquetés. Le reste, 205,08 BTC, a suivi d’autres chemins. Parmi ces fonds non mélangés, 172,33 BTC restaient encore non dépensés répartis sur 250 adresses au moment du dernier cliché. Une petite portion a même rejoint Maya Protocol et des centaines de très petites sorties.

Le Rôle Central Du CoinJoin Dans Cette Opération

Le CoinJoin n’est pas un simple outil de transfert. Il s’agit d’une technique qui regroupe les entrées de plusieurs participants dans une même transaction et redistribue les sorties de façon à casser le lien direct entre expéditeur et destinataire. Dans le cas présent, 579,80 BTC sont partis directement des portefeuilles étiquetés vers ces transactions. Les 267,46 BTC restants ont d’abord circulé par une ou plusieurs adresses intermédiaires, parfois jusqu’à six hops, avant de rejoindre le mélange.

Cette méthode s’appuie notamment sur le protocole WabiSabi, qui permet de coordonner les participants sans que le coordinateur lui-même puisse relier clairement les entrées aux sorties. Pour les analystes on-chain, cela complique sérieusement le suivi. Ce n’est d’ailleurs pas la première fois que des fonds liés à ce piratage empruntent ce chemin. Dès septembre, des traceurs avaient déjà repéré une petite quantité de bitcoins passant par CoinJoin après un parcours plus long impliquant d’autres chaînes.

Les transactions CoinJoin combinent les entrées de plusieurs participants et créent des sorties sans exposer de lien direct entre elles, même pour le coordinateur.

Documentation du protocole WabiSabi

Ce qui frappe, c’est la constance. Jour après jour, une part importante des sorties rejoint ces pools de mélange. Ce n’est plus une tentative isolée, mais une stratégie répétée. Les fonds non mélangés, eux, restent en grande partie immobilisés sur des adresses fraîches, comme s’ils attendaient un prochain mouvement ou une autre destination.

Ce Qu’il Reste Dans Les Portefeuilles Surveillés

Au moment du dernier relevé, les portefeuilles encore suivis par Arkham détenaient 959,29 BTC, soit environ 71,44 millions de dollars. Bitcoin représente plus de 99 % de la valeur totale du portefeuille restant, estimé autour de 71,86 millions. On y trouve aussi quelques stablecoins : un peu plus de 241 000 USDT, 134 000 USDC, ainsi qu’une petite quantité d’ether et d’autres actifs mineurs. Une fraction d’environ 339 000 dollars est classée comme gelée, le reste étant considéré comme liquide.

Ces chiffres contrastent fortement avec la situation d’octobre. À l’époque, Arkham avait relevé des mouvements beaucoup plus modestes, autour de 19,5 millions de dollars sur quelques jours, et le solde en bitcoin dépassait encore les 2 960 BTC. La baisse est nette. Une partie importante des actifs a bel et bien quitté les adresses initialement identifiées.

Retour Sur L’attaque Initiale De Septembre

Pour comprendre l’ampleur de ces mouvements, il faut revenir au 24 septembre 2026. Ce jour-là, Bitget a annoncé une faille qui avait permis le transfert non autorisé d’actifs. Le premier chiffre avancé était de 351,6 millions de dollars. Quelques jours plus tard, la plateforme a révisé ce montant à 387,5 millions en intégrant des actifs en Zcash et sur le réseau Tron qui n’avaient pas été comptabilisés dans la première estimation. L’échange a précisé qu’il ne s’agissait pas de nouveaux retraits, mais d’un recalcul plus complet.

Bitget a rapidement engagé des partenaires spécialisés, dont Mandiant et SlowMist, pour l’enquête. L’entreprise a affirmé avoir identifié et corrigé la vulnérabilité à l’origine de l’incident. Elle a également mis en place un programme de récompense pour la récupération des fonds. Les participants éligibles peuvent prétendre à 5 % des montants qu’ils aident directement à geler, et à 5 % supplémentaires sur les fonds effectivement récupérés. Les actions menées sous contrainte judiciaire ou à la demande des forces de l’ordre sont exclues de ce dispositif.

Pourquoi Ces Mouvements Attirent L’attention

Dans l’écosystème crypto, le suivi on-chain reste l’un des principaux outils pour tenter de récupérer des fonds volés. Quand une part aussi importante des bitcoins passe par CoinJoin, le travail des analystes se complexifie considérablement. Les adresses intermédiaires multiplient les pistes. Les transactions de mélange diluent les traces. Résultat : plus le temps passe, plus il devient difficile de relier les fonds restants à leur origine.

Cette stratégie n’est pas nouvelle. On l’a déjà vue dans d’autres affaires de piratage de plateformes. Ce qui change ici, c’est le volume et le rythme. Passer de 137 BTC le premier jour à près de 300 BTC en fin de période montre une montée en puissance progressive. Certains observateurs y voient une tentative de tester les réactions ou de fractionner les risques. D’autres estiment simplement que le pirate dispose désormais d’une capacité opérationnelle plus fluide.

Il faut aussi noter que tous les fonds n’ont pas été mélangés. Une centaine de bitcoins restent visibles, répartis sur des centaines d’adresses. Une petite quantité a même été envoyée vers Maya Protocol. Ces décisions laissent des portes ouvertes. Elles montrent aussi que l’opérateur derrière ces mouvements n’a pas choisi de tout passer immédiatement par le même filtre.

Les Limites Du Suivi Et Les Espoirs De Récupération

Arkham et d’autres sociétés d’analyse continuent de publier des mises à jour. Leur travail consiste à cartographier les flux, identifier les patterns et signaler les nouvelles adresses. Mais face à un usage massif de CoinJoin, la précision diminue. Les 66 transactions relevées représentent autant de points de rupture dans la chaîne de traçabilité.

Du côté de Bitget, le programme de bounty reste actif. Il offre une incentive claire à ceux qui peuvent aider à geler ou récupérer des fonds. Dans le passé, ce type de dispositif a parfois permis de récupérer des montants non négligeables, surtout lorsque des plateformes d’échange ou des services de garde collaborent. Rien n’indique pour l’instant qu’une récupération significative ait déjà eu lieu sur cette affaire, mais les mouvements récents pourraient justement relancer les efforts.

Les autorités et les partenaires d’enquête disposent également de leurs propres canaux. Les actifs gelés mentionnés dans le tableau de bord d’Arkham, même s’ils restent modestes, montrent que des actions concrètes ont déjà été menées. Chaque dollar gelé compte dans ce genre de dossier.

Ce Que Cela Révèle Sur La Sécurité Des Plateformes

L’attaque de septembre a rappelé, une fois de plus, que même les acteurs établis ne sont pas à l’abri. Bitget a réagi en annonçant avoir corrigé la faille et en collaborant avec des spécialistes reconnus. Pourtant, des mois plus tard, les fonds continuent de circuler. Cela pose la question de la capacité réelle à neutraliser les conséquences d’un incident une fois qu’il a eu lieu.

Les utilisateurs, eux, retiennent souvent une leçon simple : la diversification des solutions de garde et la prudence restent essentielles. Les programmes d’assurance ou de compensation mis en place par certaines plateformes peuvent limiter les pertes, mais ils ne remplacent jamais une architecture de sécurité robuste en amont.

Sur le plan technique, l’usage intensif de CoinJoin par le pirate illustre aussi l’évolution des méthodes de blanchiment de crypto-actifs. Les outils d’anonymisation s’améliorent. Les protocoles comme WabiSabi rendent le suivi plus difficile. Les analystes doivent constamment adapter leurs techniques. C’est une course permanente entre ceux qui cherchent à masquer les flux et ceux qui tentent de les reconstruire.

Les Prochaines Étapes À Surveiller

Plusieurs éléments méritent une attention particulière dans les semaines à venir. D’abord, le rythme des sorties. Si les volumes quotidiens restent élevés, le solde restant dans les portefeuilles étiquetés diminuera rapidement. Ensuite, la destination des bitcoins qui sortent de CoinJoin. Une fois mélangés, ils peuvent rejoindre des exchanges, des ponts inter-chaînes ou de nouvelles adresses de stockage.

Il sera aussi intéressant de voir si d’autres protocoles de mélange ou de swap apparaissent dans les traces. Maya Protocol a déjà reçu une petite quantité. D’autres services pourraient suivre. Enfin, toute annonce de gel ou de récupération de la part de Bitget ou de ses partenaires constituerait un tournant dans le dossier.

Les données d’Arkham restent, pour l’instant, la source la plus détaillée et la plus régulièrement mise à jour. Leurs publications permettent de suivre l’évolution quasi en temps réel. Elles montrent aussi les limites de la transparence on-chain lorsque des outils d’anonymisation sont utilisés à grande échelle.

Une Affaire Qui Dépasse Le Seul Cas Bitget

Ce qui se joue ici n’est pas seulement le devenir de plusieurs centaines de millions de dollars. C’est aussi un test grandeur nature des capacités de traçabilité de l’écosystème. Chaque grand piratage nourrit les discussions sur la régulation, sur les obligations des plateformes et sur les outils à disposition des enquêteurs.

Dans le même temps, les utilisateurs ordinaires continuent de naviguer entre promesse de liberté financière et réalité des risques opérationnels. Les mouvements observés ces six derniers jours rappellent que les bitcoins volés ne disparaissent pas. Ils changent simplement de main, parfois de façon très discrète, et poursuivent leur chemin sur la blockchain.

La suite de cette histoire dépendra de la capacité des analystes à maintenir le suivi malgré les mélanges, de la volonté des plateformes à collaborer, et des éventuelles actions judiciaires. Pour l’instant, le pirate avance, méthodiquement, et une part importante de ses gains a déjà franchi une étape supplémentaire vers l’anonymat.

Les 959 BTC encore visibles constituent un solde significatif. Ils représentent à la fois un espoir de récupération et un risque de nouveaux mouvements. Chaque jour qui passe sans gel supplémentaire éloigne un peu plus ces fonds de leur origine. C’est précisément ce que les opérations CoinJoin cherchent à obtenir : du temps et de la distance.

Dans un secteur où la transparence est souvent présentée comme un avantage, les techniques d’obscurcissement montrent qu’elle a ses limites. Le dossier Bitget, plusieurs semaines après l’attaque initiale, continue d’illustrer cette tension. Les chiffres publiés par Arkham offrent une photographie précise d’un moment donné. Ils ne disent pas encore où se terminera le parcours de ces bitcoins.

Ce qui est certain, c’est que la vigilance reste de mise. Les prochaines publications d’analyse on-chain, les éventuelles annonces de Bitget et les évolutions réglementaires continueront d’alimenter le débat. En attendant, les 78,6 millions de dollars déplacés en six jours restent l’un des mouvements les plus remarqués de ces dernières semaines dans l’univers des crypto-actifs.

L’histoire n’est pas terminée. Les portefeuilles suivis détiennent encore une valeur importante. Les outils de mélange ont déjà fait leur travail sur une large part des fonds. La question qui se pose désormais est simple : jusqu’où ces bitcoins iront-ils avant qu’une action concrète ne vienne interrompre leur trajet ?

Les réponses arriveront probablement par petites touches, au fil des nouvelles analyses et des éventuelles collaborations entre plateformes. Pour l’heure, le pirate a démontré qu’il savait organiser des sorties régulières et massives tout en maximisant l’usage des techniques d’anonymisation disponibles. C’est un signal clair pour l’ensemble de l’industrie.

Au-delà des montants, c’est la méthode qui intrigue. Une montée progressive des volumes, un recours dominant au CoinJoin, quelques fonds laissés en clair et un solde encore confortable. Tout cela dessine un opérateur patient et organisé. Les semaines à venir diront si cette patience lui permettra de conserver le contrôle sur la quasi-totalité des actifs restants, ou si les efforts de traçabilité et de récupération finiront par porter leurs fruits.

Dans tous les cas, l’affaire Bitget restera un cas d’école. Elle montre à la fois la rapidité avec laquelle des fonds peuvent être déplacés après un incident, et la difficulté à les intercepter une fois qu’ils ont emprunté des chemins conçus pour brouiller les pistes. Les chiffres d’Arkham donnent une vision claire de la situation actuelle. Ils ne préjugent pas de la suite, mais ils obligent à regarder la réalité en face : une part importante de ces bitcoins a déjà franchi une étape supplémentaire vers une plus grande opacité.