Des enquêteurs on-chain ont identifié d'autres cryptomonnaies présumées volées se dirigeant vers Zcash (ZEC), avec des fonds liés selon les rapports à trois incidents de sécurité distincts impliquant Bitget, Cryptobills Ledger et Triple-A.
Résumé
- L'enquêteur on-chain Specter a récemment relié des fonds présumés volés issus de trois incidents de sécurité à des transactions Zcash.
- ZachXBT a retracé environ 2 700 ZEC vers le pool protégé Ironwood de Zcash à la suite de la violation de Bitget en septembre.
- Bitget a confirmé qu'environ 387,5 millions de dollars avaient atteint des adresses contrôlées par les attaquants lors de l'enquête sur son incident de sécurité du 24 septembre.
- Specter a identifié des fonds de Cryptobills Ledger et de Triple-A entrant dans Zcash sans publier publiquement de preuves complètes au niveau des transactions.
- Zcash a activé Ironwood en juillet 2026, créant un nouveau pool protégé après une vulnérabilité Orchard.
Dans une publication du 17 octobre sur X, l'analyste blockchain Specter a rapporté que des fonds associés à l'incident Cryptobills Ledger et à l'exploit de Triple-A de 12 millions de dollars étaient entrés dans Zcash, à la suite des conclusions antérieures de l'enquêteur ZachXBT concernant les actifs volés à Bitget.
Les dernières allégations concernent le déplacement de cryptomonnaies volées vers un réseau axé sur la confidentialité qui permet aux utilisateurs de dissimuler certains détails de transaction. Cependant, Specter n'a pas fourni publiquement de piste de transaction complète ni établi combien d'argent provenant des deux incidents supplémentaires était entré dans ZEC.
Le rapport fait suite à la violation de sécurité de Bitget en septembre, que la plateforme d'échange a évaluée à environ 387,5 millions de dollars après avoir examiné les transactions sur plusieurs blockchains. Le chiffre de perte confirmé par Bitget couvre l'ensemble de l'incident et ne représente pas le montant prétendument transféré vers Zcash.
Zcash attire des fonds liés à trois incidents de sécurité crypto
Les conclusions de Specter ont identifié une activité impliquant des fonds prétendument liés à Bitget, Cryptobills Ledger et Triple-A. L'analyste a décrit plusieurs attaquants présumés transférant des cryptomonnaies vers ZEC après que ZachXBT a divulgué l'utilisation des fonctionnalités de confidentialité de Zcash dans l'affaire Bitget.
Le compte du 17 octobre a identifié l'incident de sécurité de Cryptobills Ledger comme l'une des sources des transferts présumés. Il a mentionné séparément des fonds provenant de l'exploit de Triple-A, qui aurait impliqué 12 millions de dollars de cryptomonnaies volées.
Ni la valeur des transferts de Cryptobills Ledger ni le montant attribué à Triple-A n'ont été établis dans les informations rendues publiques. L'enquête n'a pas révélé si les acteurs présumés ont utilisé les mêmes adresses de portefeuille ou coordonné leurs mouvements.
Selon le compte de Specter, l'activité impliquait plusieurs acteurs malveillants. Le chercheur n'a pas affirmé qu'un seul attaquant était responsable des trois incidents.
Zcash prend en charge des transactions qui peuvent masquer des informations sur les expéditeurs, les destinataires et les montants transférés. Sa technologie de confidentialité peut empêcher les observateurs extérieurs de voir les détails des transactions une fois que les actifs entrent dans un pool protégé.
Cependant, les allégations du chercheur n'établissent pas que chaque transfert signalé a été dissimulé avec succès ni que les fonds ont atteint leur destination finale.
Les enquêteurs peuvent identifier certains dépôts dans des pools protégés, mais les archives publiques disponibles ne révèlent pas nécessairement où les fonds se déplacent ensuite.
ZachXBT retrace le produit du vol de Bitget jusqu'à Ironwood
L'enquête s'appuie sur les conclusions partagées par ZachXBT le 30 septembre concernant les cryptomonnaies volées à Bitget.
Selon l'enquêteur, des portefeuilles prétendument associés aux attaquants ont transféré environ 2 700 ZEC vers le pool protégé Ironwood de Zcash. Il a évalué les transferts à environ 3,8 millions de dollars à l'époque.
Ses conclusions ont suivi le vol du 24 septembre impliquant l'infrastructure de portefeuille chaud de Bitget. ZachXBT a séparément identifié environ 18 900 ZEC, d'une valeur de 28,3 millions de dollars selon l'évaluation rapportée, parmi les actifs associés à l'incident.
L'enquêteur a fourni des références de transactions liées aux dépôts dans le pool protégé. Ces références soutiennent le traçage des fonds jusqu'aux transactions de dépôt identifiées, mais n'établissent pas leurs destinations après la protection.
Ironwood est un pool protégé plus récent de Zcash introduit via la mise à niveau du réseau du 28 juillet 2026. Il utilise une technologie dérivée du système Orchard antérieur tout en maintenant une comptabilité séparée pour les transactions et les soldes.
La mise à niveau du réseau Zcash Ironwood a suivi la découverte d'une vulnérabilité dans Orchard qui aurait pu permettre à de la fausse monnaie de circuler sans être détectée.
Les développeurs ont introduit des garde-fous restreignant les transferts depuis l'ancien pool et ont créé un pool de remplacement doté de protections cryptographiques mises à jour. La mise à niveau a été conçue pour rendre l'offre en circulation de Zcash vérifiable de manière indépendante.
Ironwood n'a pas été introduit comme un mécanisme de lutte contre le blanchiment d'argent. Son objectif principal était de résoudre le problème de sécurité d'Orchard tout en conservant la fonctionnalité des transactions blindées.
Les fonctionnalités de confidentialité du protocole restent disponibles pour les utilisateurs légitimes et peuvent être utilisées par des acteurs malveillants. Les allégations du 17 octobre concernent l'utilisation présumée de ces fonctionnalités par des attaquants, et non une nouvelle vulnérabilité dans le protocole Ironwood.
Bitget confirme le vol de 387,5 millions de dollars lors de la violation de septembre
L'incident de sécurité du 24 septembre chez Bitget a impliqué des transferts non autorisés depuis des parties de son infrastructure de portefeuilles chauds et tièdes.
L'échange avait initialement estimé les actifs concernés à 351,6 millions de dollars. Sa mise à jour de sécurité du 25 septembre a porté ce chiffre à environ 387,5 millions de dollars après un traçage blockchain et une classification des transactions supplémentaires.
Bitget a expliqué que l'estimation révisée intégrait des actifs concernés sur Zcash et TRON qui n'étaient pas inclus dans le calcul initial. La différence de 35,9 millions de dollars résultait d'une comptabilisation plus complète de l'incident, et non d'une autre vague de vol confirmée.
L'échange a identifié les actifs concernés sur les réseaux compatibles Ethereum, XRP Ledger, Zcash et TRON. Sa liste comprenait XRP, ETH, USDT, ZEC, USDC, BNB, AVAX et plusieurs autres jetons.
Des enquêtes indépendantes menées par SlowMist et la société de cybersécurité Mandiant, détenue par Google, ont ensuite examiné l'attaque. Bitget a rapporté que les deux enquêtes ont identifié des produits de sécurité tiers compromis qui ont permis un accès non autorisé à l'environnement de portefeuille de l'échange.
Comme crypto.news l'a précédemment rapporté, Bitget a repris les retraits de Bitcoin le 28 septembre après avoir temporairement suspendu les services de retrait pendant l'enquête sur la violation.
L'échange a déclaré que les attaquants n'avaient pas compromis ses portefeuilles froids ni obtenu de clés privées. Il a maintenu que les soldes des comptes clients restaient inchangés et s'est engagé à couvrir la perte financière via son Fonds de protection des utilisateurs.
Dans une annonce du 30 septembre, Bitget a rapporté avoir reconstitué le fonds de protection à plus de 300 millions de dollars. Sa mise à jour de preuve de réserves de septembre montrait séparément un ratio de réserves combiné de 131 % sur 19 actifs couverts.
Les enquêteurs identifient des tentatives antérieures de dissimulation des fonds volés
Les transferts Zcash signalés ne sont pas les premières tentatives des attaquants liés à la violation de Bitget de déplacer des actifs via des services conçus pour compliquer le traçage des transactions.
Après l'attaque de septembre, la société d'analyse blockchain AMLBot a suivi environ quatre BTC liés à l'incident entrant dans une transaction Wasabi CoinJoin.
Les transferts CoinJoin du hacker de Bitget auraient suivi un itinéraire impliquant TRON, USDT0, Ethereum, THORChain et Bitcoin.
CoinJoin combine les entrées et sorties de transactions de plusieurs participants, ce qui rend plus difficile de déterminer quelle sortie appartient à un expéditeur individuel.
Un traçage blockchain distinct a identifié environ 2 390 ETH convertis en 75,2 BTC via 27 transactions sur THORChain, d'une valeur d'environ 6,3 millions de dollars à l'époque.
Bitget avait demandé à THORChain de restreindre les adresses liées au vol. Les opérateurs du réseau ont maintenu que leurs contrôles d'urgence pouvaient suspendre l'activité du réseau mais ne pouvaient pas bloquer sélectivement le swap d'un utilisateur individuel.
Dans les jours suivant la violation, Bitget a introduit un programme de primes de récupération offrant des récompenses pour l'aide éligible au gel et à la récupération des actifs volés.
Le programme verse 5 % des fonds gelés avec succès aux contributeurs éligibles et 5 % supplémentaires pour les fonds récupérés avec succès grâce à des actions volontaires éligibles.
Bitget a exclu de l'éligibilité aux primes les actions menées en vertu d'ordonnances judiciaires ou d'instructions des forces de l'ordre. Il a conservé la responsabilité finale de déterminer les contributions éligibles et de calculer les paiements.
L'enquête de récupération de Bitget reste active
Alors que les enquêteurs continuent de suivre les actifs volés, la plateforme d'échange a mis à la disposition des entreprises de sécurité, des projets blockchain et d'autres organisations impliquées dans le traçage les adresses des attaquants identifiées.
Son annonce du 25 septembre incluait des adresses sur les réseaux compatibles Ethereum, XRP Ledger, Zcash et TRON, ainsi qu'un système public de signalement des récupérations.
Bitget a déclaré que le tableau de bord de traçage serait mis à jour au fur et à mesure que les enquêteurs identifieraient des portefeuilles ou des mouvements supplémentaires associés à l'incident. La plateforme d'échange a encouragé les dépositaires, les émetteurs de stablecoins et les plateformes de trading à signaler les découvertes pertinentes.
La violation de septembre a représenté le plus grand incident unique du mois des piratages à 768 millions de dollars dans la crypto, selon les conclusions du 1er octobre des entreprises de sécurité blockchain PeckShield et CertiK.
PeckShield a enregistré 766,5 millions de dollars sur 55 incidents majeurs en septembre, tandis que CertiK a estimé 768,4 millions de dollars sur 97 incidents. Leurs totaux utilisaient des méthodes de déclaration différentes et comptaient les montants bruts affectés, y compris les actifs récupérés par la suite.
Pour les transferts Zcash nouvellement signalés, Specter n'a pas divulgué de comptabilité complète des fonds associés à Cryptobills Ledger ou Triple-A. Aucun montant de récupération confirmé ni destination finale n'a été établi pour ces transferts spécifiques.
