Imaginez un instant : plus de 78 millions de dollars en Bitcoin qui quittent discrètement des portefeuilles étiquetés, jour après jour, sans faire de bruit excessif sur les marchés. C’est exactement ce qui s’est produit entre le 6 et le 11 novembre. Le pirate à l’origine de l’attaque contre Bitget a fait circuler 1 052,34 BTC, soit environ 78,61 millions de dollars, et la majorité de ces fonds a emprunté une voie particulièrement difficile à suivre : le CoinJoin. Les chiffres récents dressent un tableau précis de ces mouvements, de la part encore immobilisée et des techniques utilisées pour brouiller les pistes.
Un flux massif de Bitcoin en six jours seulement
Les données disponibles montrent que 1 052,34 BTC ont quitté les portefeuilles identifiés comme appartenant au pirate entre le 6 et le 11 novembre. Sur cette somme, 847,26 BTC, valorisés à 63,43 millions de dollars, ont rejoint des transactions CoinJoin. Cela représente près de 80,5 % du total déplacé. Le solde restant dans les portefeuilles suivis s’élevait encore à 959,29 BTC, soit environ 71,44 millions de dollars au moment du dernier cliché disponible.
Ces sorties ne se sont pas produites de manière uniforme. Le rythme a commencé de façon relativement modérée avant d’accélérer nettement. Le 6 novembre, 137,71 BTC ont quitté les adresses, pour une valeur d’environ 10,47 millions de dollars. Le lendemain, le volume est passé à 156,04 BTC (11,86 millions). Le 8 novembre a marqué un creux avec seulement 16,75 BTC. Puis l’activité a repris de plus belle : 206,31 BTC le 9, 238,79 BTC le 10 et enfin 296,74 BTC le 11 novembre, soit plus de 21,83 millions de dollars en une seule journée, et ce avant midi UTC.
Cette accélération progressive donne l’impression d’une stratégie réfléchie. Le pirate semble tester le terrain, observer les réactions éventuelles, puis augmenter le volume une fois que les flux passent sans trop d’obstacles visibles. La moyenne quotidienne sur la période atteint 175,39 BTC, soit environ 13,10 millions de dollars par jour. Ces montants, même étalés, restent considérables et illustrent la capacité de l’attaquant à gérer d’importants volumes sans paraître précipité.
Pourquoi le CoinJoin attire autant l’attention
Le protocole CoinJoin, et plus précisément les implémentations basées sur WabiSabi, permet de regrouper les entrées de plusieurs participants dans une même transaction. Les sorties sont ensuite redistribuées de façon à ne plus permettre un lien direct et évident entre une entrée et une sortie précise. Ni le coordinateur ni les autres participants ne disposent d’une vue claire sur la correspondance exacte des fonds. C’est précisément cette propriété qui intéresse ceux qui cherchent à rompre la chaîne de traçabilité.
Dans le cas présent, 579,80 BTC sont partis directement des portefeuilles étiquetés vers des transactions CoinJoin. Les 267,46 BTC restants ont d’abord transité par de nouvelles adresses, parfois sur un à six sauts, avant de rejoindre ces mêmes transactions. Cette double approche combine simplicité et sophistication. Une partie des fonds est mélangée immédiatement, tandis qu’une autre passe par des étapes intermédiaires destinées à compliquer encore un peu plus le travail d’analyse.
Les spécialistes de la blockchain ont déjà observé des tentatives similaires, à plus petite échelle, dans d’autres affaires. Certains fonds avaient emprunté des routes complexes passant par des ponts et des protocoles de swap avant d’aboutir à des transactions de type CoinJoin. Ici, le volume est sans commune mesure. Près de quatre cinquièmes des Bitcoin déplacés sur six jours ont emprunté cette voie. Ce choix n’est clairement pas anodin.
Les fonds qui n’ont pas encore rejoint le mélange
Tout n’est pas passé par CoinJoin. Environ 205,08 BTC, valorisés à 15,18 millions de dollars, ont été déplacés sans entrer dans ces transactions. Parmi eux, 172,33 BTC (12,72 millions) restent non dépensés et répartis sur 250 adresses distinctes. Une petite partie, 16,38 BTC, continuait de circuler à six sauts au moment de l’analyse. On trouve également 10 BTC envoyés vers Maya Protocol et 4,37 BTC dispersés en 433 très petites sorties.
Cette dispersion en de multiples adresses et en micro-montants constitue une autre technique classique. Elle alourdit le travail de suivi et peut servir de préparation à de futures opérations. Les 172 BTC encore « propres » au regard du CoinJoin représentent un réservoir potentiel pour de nouveaux mouvements. Leur répartition sur 250 adresses montre une volonté de fractionner le risque et de multiplier les points de départ possibles.
Le portefeuille global encore sous surveillance affichait un total d’environ 71,86 millions de dollars, dont plus de 99 % en Bitcoin. Les autres actifs étaient marginaux : un peu plus de 241 000 USDT, 134 000 USDC, 18 ETH environ, ainsi que de petites quantités de TRX et USDD. Une fraction minime, autour de 339 000 dollars, était classée comme gelée, tandis que le reste restait liquide et potentiellement mobile.
Retour sur l’attaque initiale et les premiers mouvements
L’incident remonte au 24 septembre. Bitget avait d’abord évalué les pertes à 351,6 millions de dollars avant de réviser ce chiffre à 387,5 millions. La différence s’expliquait notamment par l’inclusion d’actifs Zcash et TRON omis dans le premier calcul. L’exchange a indiqué avoir identifié et corrigé la faille à l’origine de l’intrusion, tout en confiant l’enquête à des partenaires spécialisés en cybersécurité.
Dès la fin octobre, des mouvements notables avaient déjà été relevés. Entre le 21 et le 24 octobre, environ 19,48 millions de dollars avaient quitté les portefeuilles étiquetés, presque exclusivement vers de nouvelles adresses, sans destinataire clairement identifiable comme un exchange ou un mélangeur à ce moment-là. Le solde Bitcoin restant s’élevait alors à près de 2 960 BTC, pour une valorisation globale des actifs suivis autour de 242 millions de dollars. La réduction spectaculaire de ce solde entre fin octobre et mi-novembre montre que l’activité de déplacement s’est nettement intensifiée.
Ces chiffres rappellent que le temps qui s’écoule après un piratage de grande ampleur est souvent mis à profit pour organiser la liquidité des fonds volés. Les premières semaines peuvent servir à cartographier les adresses, tester des canaux et préparer des stratégies de sortie plus sophistiquées. Les mouvements de novembre s’inscrivent dans cette logique de consolidation et d’opacification progressive.
Le programme de récupération mis en place
Face à l’ampleur des pertes, Bitget a lancé un programme de primes destiné à encourager la collaboration. Toute personne qui contribue directement au gel de fonds peut prétendre à 5 % de la somme gelée. Une autre prime de 5 % est prévue pour ceux qui aident concrètement à la récupération effective des actifs. L’exchange se réserve le droit de juger de l’éligibilité et du niveau de contribution. Les actions menées sous contrainte judiciaire ou à la demande des forces de l’ordre sont exclues de ce dispositif.
Ce type de programme n’est pas nouveau dans l’écosystème. Il vise à mobiliser la communauté des analystes, des chasseurs de primes et des chercheurs en sécurité. L’efficacité réelle dépend toutefois de plusieurs facteurs : la capacité à identifier les adresses en temps utile, la coopération des plateformes qui reçoivent éventuellement des fonds, et la rapidité d’intervention des autorités compétentes. Dans le cas présent, la part importante des fonds passés par CoinJoin complique clairement la tâche.
Les montants encore présents dans les portefeuilles suivis, autour de 71 millions de dollars, constituent une cible prioritaire pour d’éventuelles actions de gel. Chaque jour supplémentaire sans intervention augmente les chances que ces fonds rejoignent à leur tour des transactions de mélange ou des destinations plus difficiles à atteindre.
Ce que révèle la structure des transferts
L’analyse fine des flux montre deux grandes catégories de comportements. D’un côté, des transferts directs vers des CoinJoin, qui représentent la majorité des volumes. De l’autre, des chemins plus longs passant par des adresses intermédiaires fraîchement créées. Cette combinaison suggère une organisation méthodique plutôt qu’une fuite précipitée. Le pirate ou le groupe derrière ces mouvements semble disposer de ressources techniques et d’une bonne compréhension des outils d’analyse on-chain.
La répartition des 172 BTC non mélangés sur 250 adresses est particulièrement intéressante. Elle crée un maillage dense de points de départ potentiels. Chaque adresse peut être utilisée indépendamment pour de nouveaux envois, ce qui multiplie les opportunités de dispersion. Les très petites sorties (les 4,37 BTC divisés en 433 fragments) peuvent servir de tests, de leurres ou de préparatifs à des opérations de poussière destinées à saturer les outils de suivi.
Le passage par Maya Protocol d’une partie des fonds ouvre également des perspectives d’échange cross-chain. Ce type de protocole permet de sortir du simple environnement Bitcoin et d’accéder à d’autres réseaux, ce qui élargit encore le champ des possibilités pour l’attaquant. Plus les fonds circulent entre différentes chaînes, plus le suivi devient complexe et coûteux en ressources.
Les implications pour la sécurité des plateformes
Ce nouvel épisode rappelle avec force que même les plateformes établies restent exposées à des attaques de grande ampleur. La révision à la hausse du montant initial des pertes montre aussi la difficulté d’établir un bilan exhaustif dans les premières heures suivant un incident. Les actifs présents sur plusieurs chaînes ou dans des formats moins courants peuvent facilement échapper aux premiers inventaires.
La rapidité avec laquelle les fonds ont commencé à être déplacés et mélangés souligne l’importance des mécanismes de détection précoce et de gel. Une fois que les actifs ont rejoint des transactions CoinJoin en volume important, les chances de récupération diminuent significativement. Les programmes de primes et les partenariats avec des sociétés spécialisées en investigation blockchain deviennent alors des outils essentiels, mais leur efficacité dépend de la réactivité de l’ensemble de l’écosystème.
Pour les utilisateurs, ces événements renforcent la nécessité de diversifier les lieux de stockage et de limiter les montants laissés sur les plateformes d’échange. Les solutions de stockage à froid, les portefeuilles multi-signatures et les bonnes pratiques de gestion des clés privées restent les meilleures protections individuelles face à ce type de risque systémique.
Une accélération progressive des sorties
Le profil des volumes quotidiens mérite d’être examiné de près. Après un démarrage autour de 140 BTC, une légère hausse le lendemain, puis un net ralentissement le 8 novembre, les trois jours suivants ont vu les montants grimper de façon presque linéaire jusqu’à frôler les 300 BTC. Cette courbe n’a rien d’aléatoire. Elle ressemble davantage à une montée en puissance contrôlée, peut-être destinée à tester la capacité des outils de surveillance à suivre le rythme.
Le fait que le pic du 11 novembre ait été enregistré avant midi UTC laisse penser que le volume réel de la journée aurait pu être encore plus élevé si le décompte avait été poursuivi jusqu’à la fin de la journée. Les analystes qui suivent ces adresses en temps réel ont probablement dû ajuster leurs tableaux de bord plusieurs fois au cours de la période pour intégrer les nouveaux mouvements.
Cette dynamique pose la question de la suite. Les 959 BTC encore présents dans les portefeuilles suivis constituent un stock important. S’ils suivent le même schéma, on peut s’attendre à de nouvelles vagues de transferts vers des CoinJoin ou vers d’autres mécanismes d’opacification dans les jours ou semaines à venir. Le rythme observé récemment, s’il se maintenait, permettrait de liquider une grande partie de ce solde en moins d’une semaine.
Le rôle des outils d’analyse blockchain
Sans les plateformes spécialisées dans le suivi on-chain, ces mouvements seraient restés largement invisibles pour le grand public. L’étiquetage des portefeuilles liés au pirate, le calcul précis des volumes journaliers et la distinction entre fonds mélangés et non mélangés reposent sur un travail technique important. Ces outils permettent non seulement de quantifier les flux, mais aussi d’alerter la communauté et les autorités sur l’évolution de la situation.
Cependant, même les meilleurs outils se heurtent aux limites imposées par des protocoles comme CoinJoin. Une fois que les fonds ont été mélangés en volume important, la certitude de pouvoir les retracer diminue fortement. Les analystes peuvent encore identifier des clusters suspects ou des comportements inhabituels, mais la preuve formelle d’un lien devient beaucoup plus difficile à établir.
C’est précisément pour cette raison que le pourcentage de 80,5 % de fonds passés par CoinJoin est un indicateur clé. Il montre que l’attaquant a choisi délibérément la voie la plus efficace actuellement disponible pour rompre la traçabilité sur le réseau Bitcoin. Les 20 % restants, qu’ils soient dispersés ou encore en mouvement, représentent peut-être une réserve destinée à d’autres stratégies ou simplement un reliquat en attente de traitement.
Perspectives et vigilance accrue
La situation reste évolutive. Les portefeuilles suivis détiennent encore une valeur significative. Chaque nouveau transfert sera scruté avec attention par les analystes. Les plateformes d’échange et les services de custody sont invités à une vigilance particulière concernant les dépôts provenant d’adresses potentiellement liées à cette affaire.
Pour l’écosystème dans son ensemble, cet épisode constitue un nouveau cas d’étude sur les techniques de blanchiment de crypto-actifs à grande échelle. Il met en lumière à la fois les progrès des outils d’investigation et les limites actuelles face à des protocoles conçus pour préserver l’anonymat. La tension entre transparence de la blockchain et outils de confidentialité continue de structurer une grande partie des débats techniques et réglementaires.
Les prochaines semaines diront si le rythme des sorties se maintient, s’accélère encore ou ralentit. Elles diront aussi si une partie des 71 millions de dollars encore visibles pourra être gelée ou récupérée. En attendant, le message est clair : même après plusieurs semaines, les fonds volés continuent de circuler et d’être activement traités pour réduire leur traçabilité.
Cette affaire rappelle également que la sécurité des plateformes d’échange reste un enjeu central pour la confiance des utilisateurs. Chaque incident de cette ampleur laisse des traces durables sur la perception du risque et pousse l’industrie à renforcer ses contrôles, ses audits et ses mécanismes de réponse aux incidents. Les leçons tirées de ce type d’événement contribuent, à terme, à améliorer les pratiques de l’ensemble du secteur.
Enfin, il convient de souligner que les montants en jeu, bien que considérables, ne représentent qu’une fraction de la capitalisation totale du marché des crypto-actifs. Cela n’enlève rien à la gravité de l’attaque pour les victimes et pour la plateforme concernée. Chaque dollar déplacé hors de portée des mécanismes de récupération est un dollar perdu pour ceux qui ont confié leurs actifs à l’exchange. La transparence des analyses on-chain permet au moins de documenter précisément ces mouvements et de maintenir une pression constante sur les acteurs impliqués.
Le suivi continu de ces adresses et de ces flux restera essentiel dans les semaines à venir. Les chiffres du 6 au 11 novembre offrent un instantané clair d’une phase active de déplacement et d’opacification. Ils constituent aussi un point de référence pour mesurer l’évolution future de la situation et l’efficacité des efforts de récupération qui pourraient encore être déployés.
