Drainage des hot wallets Bitmart

Le 4 décembre 2021, l'échange de cryptomonnaies Bitmart a détecté une activité non autorisée dans deux de ses hot wallets. Au moment où les wallets ont été drainés, 196 millions de dollars s'étaient déplacés — environ 100 M$ depuis Ethereum et 96 M$ depuis BNB Chain — dans un seul balayage coordonné sur plus de 20 tokens différents.

Ce qui s'est passé

Le CEO de Bitmart Sheldon Xia a plus tard confirmé publiquement que la brèche était causée par une clé privée volée contrôlant les deux hot wallets affectés. Le vecteur de compromission — qu'il s'agisse de malware endpoint, d'accès interne ou de chaîne d'approvisionnement — n'a pas été publiquement divulgué.

Le comportement de l'attaquant était classique : une autorité de signature unique accordant l'accès à des wallets sur deux chaînes ; l'attaquant a drainé les deux simultanément, puis routé les produits via l'agrégateur DEX 1inch pour échanger des dizaines de tokens de longue traîne contre de l'ETH, avant d'envoyer les produits consolidés à Tornado Cash pour mixage.

Les tokens affectés incluaient BNB, SafeMoon, Shiba Inu et de nombreux autres ERC-20 et BEP-20 — à l'époque valant près de 100 M$ chacun sur les deux chaînes affectées.

Conséquences

• Bitmart a mis en pause les retraits le jour même et utilisé les réserves d'entreprise pour rembourser les clients affectés.
• Les retraits ont été restaurés au cours de la semaine suivante alors que Bitmart faisait tourner les clés et auditait l'infrastructure wallet.
• Les fonds volés ont été blanchis via Tornado Cash ; aucune récupération publique.

Pourquoi c'est important

Bitmart est l'un des exemples les plus clairs d'un problème qui s'est répété dans une demi-douzaine d'échanges de moyen rang sur 2024-2025 (BingX, Phemex, Indodax, BtcTurk) : une seule clé de hot wallet avec autorité de signature inter-chaînes est un point de défaillance catastrophique unique. La ségrégation de clés par chaîne et les disjoncteurs de vélocité de retrait sont aujourd'hui des prérequis — mais ne l'étaient pas en 2021, et la leçon a coûté 196 M$ à apprendre la première fois.