Qui, concrètement, peut empêcher un actif volé de continuer sa course une fois qu’il a quitté un portefeuille d’échange et traversé plusieurs réseaux? La question n’est plus théorique depuis que Bitget a demandé à THORChain de refuser les adresses liées à une brèche évaluée désormais à environ 387,5 millions de dollars. Le protocole a répondu, le 28 septembre 2026, qu’un arrêt d’urgence n’est pas un gel sélectif. Entre ces deux phrases, c’est tout le modèle de contrôle des cryptoactifs qui apparaît: un émetteur peut immobiliser son propre stablecoin, une plateforme peut fermer un compte, des opérateurs de nœuds peuvent interrompre des routes. Aucun de ces leviers n’est un interrupteur universel.
Le Désaccord Qui Révèle Les Limites Du Contrôle Interchaînes
L’accroche de l’affaire est simple. Après l’incident du 24 septembre, la direction de Bitget a appelé publiquement THORChain à ne plus servir les adresses associées au vol. La réponse du réseau, quatre jours plus tard, a distingué deux outils que l’opinion confond trop souvent: haltir l’ensemble d’une activité, et filtrer un utilisateur précis. Cette distinction n’est pas un détail de communication. Elle décrit des architectures différentes, des responsabilités différentes, et des délais différents.
Le montant lui-même mérite d’être lu avec prudence. Bitget a d’abord évoqué 351,6 millions de dollars, puis a relevé l’estimation à près de 387,5 millions après l’ajout de transactions Zcash et TRON identifiées dans un recensement plus complet. Il s’agit d’une estimation interne des actifs déplacés vers des adresses contrôlées par l’attaquant. Ce n’est pas un audit indépendant de perte définitive, ni la preuve qu’une nouvelle somme de 35,9 millions se soit évaporée après la première communication. La société affirme que les soldes clients restent couverts et que son fonds de protection absorbera le choc. Ce sont des déclarations d’entreprise, pas un verdict extérieur.
Repère chiffré
318 013 dollars de USDC et USDT gelés rapportés, soit environ 0,082 % de l’estimation révisée de 387,5 millions.
Ce Que Bitget Demande Vraiment
La requête de Gracy Chen n’est pas, en elle-même, une injonction judiciaire ni un vote de gouvernance. C’est un appel à la communauté du protocole. Un tel appel peut alerter des nœuds, des interfaces et des services indépendants. Il ne confère pas automatiquement à une plateforme d’échange le pouvoir de dicter la politique d’un ensemble de validateurs. Le réseau, de son côté, reste libre de répondre selon ses règles logicielles, sa gouvernance et le droit applicable.
Bitget a aussi annoncé une prime: 5 % pour un gel éligible des fonds directement concernés, et 5 % supplémentaires pour une récupération. Cette structure avoue déjà deux étapes distinctes. Immobiliser un solde n’est pas le restituer. Un jeton bloqué chez un émetteur peut rester sous enquête longtemps. Un actif récupéré, lui, est sécurisé ou rendu à la partie légitime. Les tableaux publics d’adresses suspectes ne tranchent ni la propriété juridique ni la garde réelle.
Il n’existe pas une entité unique appelée «réseau interchaînes» qui disposerait d’une autorité sur tous les actifs concernés.
Un attaquant peut détenir un jeton dont l’émetteur possède une fonction de gel, l’échanger contre un actif sans administrateur, basculer d’une chaîne native à une autre, puis chercher un dépositaire disposé à recevoir le produit. Chaque étape ouvre un point d’intervention différent. La demande de Bitget n’a de sens que si l’on sépare ces points au lieu de les fondre dans une formule trop large.
Le Gel Des Stablecoins N’Est Qu’Une Fraction Visible
Selon la communication de l’échange, Circle et Tether ont gelé 99 990 USDC et 218 023 USDT liés à l’incident. Au pair dollar, ces deux montants totalisent environ 318 013 dollars. Diviser ce chiffre par 387,5 millions donne à peu près 0,082 %, soit huit cents pour 100 dollars de l’estimation révisée des actifs transférés. Le calcul est volontairement étroit. Il ne dit pas que seuls 318 013 dollars restent identifiables, ni que Bitget n’a récupéré que cela.
La plateforme indique que d’autres actifs concernés ont été gelés via des partenaires, sans publier un total consolidé gelé et récupéré dans la mise à jour citée. Son estimation couvre plusieurs types d’actifs et plusieurs réseaux. Un numérateur en dollars issu de deux actions d’émetteurs et un dénominateur large d’incident servent à donner l’échelle, pas à dresser un grand livre de recouvrement.
Les mécanismes, surtout, ne se ressemblent pas. Un émetteur de stablecoin peut disposer de pouvoirs contractuels sur un jeton particulier. Geler de l’USDC à une adresse peut empêcher cet adresse d’envoyer ce jeton selon les règles de l’émetteur. Cela ne gèle pas de l’ETH natif ou du BTC au motif que ces actifs auraient été achetés plus tôt avec de l’USDC. Une plateforme centralisée peut suspendre un compte ou refuser un dépôt lié à des adresses signalées. Elle ne peut pas entrer dans un portefeuille Bitcoin auto-conservé hors de son service.
| Acteur | Levier possible | Limite principale |
|---|---|---|
| Émetteur de stablecoin | Gel contractuel d’un jeton à une adresse | Inopérant sur BTC ou ETH natifs déjà convertis |
| Échange centralisé | Blocage de compte, refus de dépôt | Aucun accès à un portefeuille externe |
| Protocole de swap | Pause de routes ou halt réseau | Outil souvent large, pas une liste noire individuelle |
| Chaîne native | Historique public, pas d’administrateur unique | Une transaction confirmée n’est pas réversible |
Comment Un Swap Traverse Un Coffre, Un Consensus, Puis Une Chaîne Sortante
La description technique d’un échange natif sur THORChain commence lorsqu’un utilisateur envoie un actif, par exemple du BTC, vers un coffre du protocole sur sa chaîne d’origine. Les nœuds observent cette transaction entrante. Le réseau valorise le swap via ses pools de liquidité et prépare une transaction sortante dans l’actif de destination. Le transfert sortant du coffre est autorisé par une signature à seuil: plusieurs participants contribuent, aucun opérateur unique ne détient la clé entière.
C’est précisément pour cela que l’analogie avec un simple paiement Bitcoin de portefeuille à portefeuille a des limites. Les nœuds de THORChain maintiennent collectivement une infrastructure qui reçoit l’actif entrant et envoie l’actif sortant. Ils ne sont pas des guichetiers humains qui approuvent chaque swap à la main. Mais le réseau dispose de réglages opérationnels capables de mettre en pause une activité sur certaines chaînes ou de façon globale. Ces pouvoirs figurent dans sa documentation de halt.
Un halt est une règle large sur le traitement. Il peut interrompre une route pendant que l’on examine un déséquilibre de coffre ou une faille. Une liste noire d’adresses est une règle plus étroite: qui a le droit d’emprunter une route pendant que les autres transactions continuent. THORChain affirme que le premier outil existe et que le second n’est pas son mécanisme ordinaire. GoPlus Security insiste sur un autre point: la présence de coffres contrôlés par des nœuds et de halts documentés implique une capacité à assumer une responsabilité sur ce qui passe. Le recoupement factuel, c’est la faculté d’interrompre des opérations. Le désaccord, c’est de savoir si cette faculté doit devenir un filtrage par adresse, et quelles modifications de logiciel et de gouvernance un tel filtrage exigerait.
Si un swap attend encore dans une file, une pause opportune peut interrompre le traitement avant le règlement sortant. Si la transaction sortante a déjà été confirmée sur Bitcoin, un halt ultérieur ne peut pas réécrire l’histoire de Bitcoin. Si l’actif entrant a déjà rejoint un coffre et que le trading s’arrête, l’utilisateur peut affronter un délai ou une procédure de remboursement définie par le protocole. Le résultat exact dépend de l’état de la transaction et du type d’arrêt choisi. Une formule comme «geler les fonds sur THORChain» reste trop vague pour dire quel actif se trouve où au moment de l’intervention.
La Piste Des Quatre Bitcoins Et Les Changements De Contrôle
AMLBot a retracé environ 4 BTC liés à l’incident jusque dans un tour de CoinJoin Wasabi, selon un compte rendu du 27 septembre. Le chemin décrit commence par des actifs sur TRON, passe par USDT0 vers Ethereum, utilise THORChain pour un échange en Bitcoin, puis entre dans un mélange. C’est une route observée, pas la route de l’ensemble des 387,5 millions, ni la preuve que chaque adresse réceptrice appartient à la même personne.
Cette séquence vaut surtout comme carte d’intervention. Sur une jambe stablecoin, l’émetteur peut agir sur une adresse si le contrat et le cadre juridique le permettent. Pendant un pont ou un transfert interchaînes, le dessin réel de l’opérateur compte. Chez THORChain, les opérateurs du réseau peuvent affecter la disponibilité des swaps via les contrôles de halt. Chez un échange dépositaire, les équipes de comptes peuvent stopper dépôts ou retraits. Une fois le BTC natif contrôlé par un portefeuille externe, THORChain ne contrôle plus ce solde, même si le bitcoin est sorti de son coffre.
Un CoinJoin combine entrées et sorties dans une transaction conçue pour rendre le suivi linéaire plus difficile. Cela ne rend pas chaque pièce définitivement introuvable, et n’empêche pas un dépositaire ultérieur d’interroger un client sur l’origine des fonds. La piste publique montre pourquoi les enquêteurs courent contre la montre d’une conversion à l’autre. Chaque échange change le levier technique disponible et les données encore visibles.
Il faut aussi résister à un ratio trompeur. Quatre bitcoins décrivent une tranche acheminée. On ne peut pas les diviser dans l’incident entier sans un prix horodaté du BTC, et même alors on n’obtiendrait que la part de cette jambe particulière. La valeur analytique tient à la succession des points de contrôle, pas à l’idée que ces quatre pièces représenteraient tout le piratage.
Le Halt De Mai Prouve Un Pouvoir, Pas Une Liste Noire
THORChain a déjà interrompu des fonctions après sa propre faille de coffre du 15 mai, rapportée autour de 10,7 millions de dollars. Des contrôles de solvabilité ont identifié un déséquilibre, puis les opérateurs de nœuds ont coordonné d’autres mesures. Un plan de redémarrage en onze étapes a précédé le retour progressif des échanges en juin. Cet historique dément l’affirmation absolue selon laquelle le réseau ne pourrait jamais mettre en pause son activité. La documentation liste des contrôles pour le trading par chaîne, la signature et des fonctions plus larges.
Elle ne montre pas, en revanche, que le système maintient aujourd’hui une liste vérifiée d’adresses de fonds volés et filtre chaque swap entrant. Arrêter tout le monde n’est ni techniquement ni économiquement équivalent à refuser un utilisateur identifié. Une liste noire doit préciser quelles adresses sources comptent, comment on ajoute des portefeuilles liés par des transferts, qui vérifie les preuves, qui peut contester une inscription erronée, et si la règle s’applique encore à un jeton après qu’il a changé de main.
Une désignation fautive peut bloquer un détenteur innocent. Une règle trop étroite invite l’attaquant à basculer vers de nouvelles adresses ou une autre porte d’entrée. L’argument de GoPlus est le plus fort sur le terrain de la gouvernance: si un ensemble de validateurs peut déjà coordonner un halt, il a une certaine capacité à choisir de ne pas traiter une catégorie d’activité, même si le mécanisme actuel reste rudimentaire. La réponse de THORChain est la plus forte sur le terrain de l’implémentation: un arrêt d’urgence large n’équivaut pas à un gel sélectif existant, et éteindre toute une chaîne pour bloquer une adresse impose un coût aux swaps non concernés.
Ces deux lectures peuvent coexister. Aucune ne tranche la question politique: faut-il ajouter une règle de filtrage, et qui la tiendrait à jour? L’épisode de mai importe aussi pour une seconde raison. Il rappelle le prix d’une interruption générale. Le trading n’a pas simplement repris au bloc suivant. Des vérifications de coffres et de parts de clés ont fait partie du redémarrage. Les fournisseurs de liquidité ont dû attendre. Une intervention de sécurité destinée à empêcher davantage de fonds de quitter un coffre affaibli n’est pas le même arbitrage qu’un halt conçu pour intercepter la route d’un attaquant extérieur.
La Même Adresse Ne Dit Pas La Même Chose Sur Chaque Chaîne
Bitget a publié des adresses réceptrices principales pour plusieurs réseaux, dont des chaînes compatibles EVM, le XRP Ledger, Zcash et TRON. Une liste d’adresses est un jeu d’observations de départ, pas un registre d’identité universel. La même personne peut contrôler beaucoup de portefeuilles. Un service peut recevoir des actifs de nombreux clients sans lien entre eux vers une seule adresse. Une politique qui traiterait comme également coupable chaque adresse touchée par un portefeuille signalé atteindrait vite des fonds détenus par des gens sans rôle dans la brèche.
La forme de l’adresse change aussi la tâche. Sur Ethereum, un émetteur peut inspecter le solde d’un jeton contractuel à un compte et exercer, le cas échéant, une fonction de gel. Sur Bitcoin, une transaction dépense des sorties précises; il n’existe pas d’administrateur de jeton à la manière de l’USDC pour modifier la dépensabilité d’un bitcoin natif. Chez un échange, l’information pertinente peut être l’attribution interne d’un dépôt, invisible depuis la seule adresse publique. Sur un swap interchaînes, l’adresse entrante et l’adresse sortante peuvent différer, parce que le coffre reçoit le premier actif et signe la seconde jambe vers une destination désignée.
Imaginons une séquence illustrative, et seulement illustrative. Des enquêteurs identifient un transfert USDT volé sur TRON et préviennent un émetteur. Un gel avant conversion peut retenir ce jeton précis. S’il est déjà devenu de l’ETH, l’action USDT ne bloque que ce qui reste. Si l’ETH entre dans un coffre THORChain, une pause réseau peut interrompre un swap en attente, mais aussi du trafic sans lien; un filtre d’adresse aurait besoin de critères fiables pour reconnaître le dépôt et de règles pour décider de son sort. Si le BTC a déjà quitté le coffre, l’occasion de stopper cette jambe sortante est passée.
La chronologie devient alors décisive. Un dossier utile indiquerait quand Bitget a d’abord étiqueté une adresse, quand un service a reçu l’alerte, quand les fonds y sont arrivés, quand une transaction sortante a été diffusée, et quand un gel a pris effet. Un avertissement tardif n’est pas la même chose qu’un service qui décline une demande opportune. Sans ces horodatages, accuser un opérateur nommé d’avoir «laissé passer les fonds» peut suggérer une connaissance et un contrôle que le dossier n’a pas établis.
Les erreurs d’adresse ont elles aussi un coût. Quelqu’un peut recevoir un petit transfert d’un attaquant sans y avoir consenti. Un pool mélange des soldes de nombreux participants. Une adresse de dépôt réutilisable peut représenter un service dépositaire plutôt qu’un client unique. Plus un filtre est automatisé, plus ses règles et sa procédure de recours doivent être explicites. Un halt est brutal. Une liste noire amendable sans preuve ni recours est un autre risque opérationnel.
Pourquoi La Course Contre La Montre Compte Plus Qu’Un Interrupteur Unique
La méthode de recouvrement la plus concrète reste sensible au temps. Les enquêteurs identifient des adresses, suivent des swaps, transmettent l’information à l’émetteur ou au lieu de garde suivant, et obtiennent une action tant que l’actif se trouve encore sous le contrôle de cette partie. Si un jeton a déjà été converti et retiré, le gel de l’émetteur précédent arrive trop tard pour cette jambe. Le traçage reste précieux. Tracer une pièce et l’immobiliser restent pourtant deux réussites distinctes.
La même analyse vaut pour les routes alternatives. Stopper un lieu de swap n’empêche pas un portefeuille d’essayer un autre pont, un autre échange ou une vente directe. Une réponse à l’échelle du marché exige que beaucoup d’acteurs indépendants agissent à temps. Elle peut encore bloquer des montants significatifs. Elle n’est pas un ordre qu’une seule équipe peut adresser à toutes les chaînes.
Bitget a prévu une reprise échelonnée des retraits à partir du 28 septembre, en commençant par le BTC, puis l’ETH, l’USDT et d’autres services jusqu’au 2 octobre. Cette décision concerne son service client et la sécurité de ses portefeuilles. Elle ne dépend pas de l’acceptation de sa requête par THORChain. L’échange indique que Mandiant et SlowMist l’assistent et que la faille a été corrigée. Le statut de chaque étape doit être vérifié sur les avis en direct de la plateforme: un calendrier publié n’est pas la preuve qu’un transfert donné a abouti.
Ce Qu’Il Faut Surveiller Dans Les Prochains Jours
Le chiffre décisif ne sera pas le nombre de blocages annoncés, mais le volume d’actifs réellement récupérés. Un solde gelé chez un émetteur peut rester sous enquête. Un solde récupéré est rendu ou sécurisé pour la partie légitime. Une entreprise peut affirmer que les comptes clients sont entiers même si elle n’a pas repris les actifs externes, en s’appuyant sur ses réserves ou un fonds de protection.
THORChain peut publier une proposition de filtrage sélectif, conserver ses outils d’urgence, ou refuser tout nouveau contrôle. La déclaration du 28 septembre documente sa position actuelle. Un changement de politique aurait besoin de détails de code et de gouvernance: qui décide quelles adresses sont barrées, comment on inverse une fausse correspondance. Un halt complet de chaîne serait visible via l’état du réseau et affecterait des utilisateurs ordinaires, sans garantir la récupération de fonds déjà versés.
Points de vigilance
- Les réglages réseau de THORChain: halt de chaîne, halt de signature, ou proposition de filtrage.
- Les mises à jour de traçage de Bitget, idéalement actif par actif.
- Les gels d’émetteurs, à compter séparément des swaps interrompus ailleurs.
- Les enregistrements de swaps: en file, remboursés ou déjà réglés.
- Les avis de reprise des retraits jusqu’au 2 octobre.
Le résultat déjà visible reste limité: des gels d’émetteurs d’environ 318 013 dollars en jetons dollar nommés, face à une estimation de 387,5 millions transférés. Ce ratio peut monter si d’autres émetteurs ou plateformes agissent. Il peut aussi n’être qu’une petite part d’un recouvrement plus large que l’échange n’a pas encore chiffré. Les éléments disponibles au 28 septembre n’autorisent ni l’idée que personne ne peut intervenir, ni l’idée qu’une route interchaînes peut être entièrement fermée contre l’attaquant.
Un compte de récupération vérifiable listerait les actifs par chaîne, le montant initialement déplacé, le montant gelé, le montant réellement rendu et la date de valorisation. Tant que ce tableau n’existe pas, le test le plus clair du pouvoir de chaque acteur reste une intervention enregistrée à un point de contrôle précis, suivie de la preuve que les fonds visés n’en sont pas ressortis.
Questions Fréquentes Sur Les Pouvoirs Réels De Chaque Acteur
Combien Bitget dit-il avoir perdu? L’estimation révisée atteint environ 387,5 millions de dollars après inclusion de transactions Zcash et TRON supplémentaires. Le premier chiffre communiqué était de 351,6 millions. Ces montants décrivent des actifs déplacés vers des adresses liées à l’attaque, selon la plateforme.
Que demandait précisément Bitget à THORChain? Refuser le service aux adresses liées à la brèche. Le protocole a répondu que son halt d’urgence n’est pas un outil de gel individuel. Peut-il pour autant interrompre des swaps? Oui. Sa documentation développe des réglages de halt réseau et par chaîne, et le réseau a déjà pausé des opérations après l’exploit de mai 2026. Un arrêt large n’est pas un filtrage d’une adresse pendant que les autres passent.
Qui contrôle les actifs dans les coffres du protocole? Les opérateurs de nœuds actifs participent collectivement à la signature à seuil des transactions sortantes. Selon le dessin décrit, aucun nœud ne détient à lui seul la clé complète. Un halt ultérieur ne peut pas non plus inverser un bitcoin déjà envoyé et confirmé sur le réseau Bitcoin. Il peut, selon le stade et les réglages, affecter un swap encore en attente de règlement sortant.
Un gel signifie-t-il que Bitget a récupéré les fonds? Non. Geler immobilise un solde sous le contrôle d’une partie. Récupérer exige encore un processus juridique ou opérationnel pour sécuriser ou restituer l’actif. Cette distinction, souvent oubliée dans les titres, est au cœur de toute lecture honnête de l’affaire.
Le débat ne devrait pas se réduire à un oui ou non sur la décentralisation. Un réseau décentralisé peut posséder des interrupteurs d’urgence. Un système doté d’interrupteurs d’urgence peut malgré tout manquer d’un opérateur unique capable de filtrer de façon fiable une adresse dans chaque transaction. Le contrôle se partage entre règles logicielles, coordination des nœuds, signature des coffres et interfaces. Dire que tout cela est entièrement permissionless, ou entièrement gouvernable, contourne la vraie question: à quel moment précis un levier existe encore, et qui a le droit, le temps et la preuve de s’en servir.
