Hack des hot wallets de Deribit

Le 1er novembre 2022, le plus grand exchange d'options crypto au monde Deribit a perdu environ 28 millions de dollars lorsque ses hot wallets BTC, ETH et USDC ont été compromis. L'attaquant est reparti avec 691 BTC et 9 111,59 ETH en actifs mixtes. Deribit a absorbé la perte depuis son bilan sans toucher au fonds d'assurance de 40 M$ de l'entreprise ni aux actifs clients en cold-storage.

Ce qui s'est passé

Deribit avait structuré sa custodie sur le modèle standard 99/1 : environ 99 % des fonds clients en cold storage et environ 1 % dans des hot wallets pour servir la demande opérationnelle de retraits. Les hot wallets sur BTC, ETH et USDC ont été compromis dans un drainage coordonné multi-chaînes.

L'exchange n'a pas divulgué publiquement le vecteur de compromission spécifique — qu'il s'agisse de malware sur endpoint, de vol de credentials internes, de compromission de fournisseur ou de brèche de l'infrastructure de signature. Le pattern on-chain était un balayage coordonné avec conversion cross-chain immédiate des stablecoins en ETH, correspondant au comportement standard de compromission de clé privée chez les opérateurs custodiaux multi-chaînes.

Conséquences

• Deribit a suspendu les retraits en quelques heures ; les dépôts et le trading sont restés disponibles tout du long.
• L'exchange a annoncé — et c'est vérifiable on-chain — que les actifs clients en cold-storage n'ont pas été affectés.
• La perte totale de 28 M$ a été couverte par le bilan propre de Deribit, laissant le fonds d'assurance de 40 M$ intact pour de potentiels incidents futurs.
• Les retraits ont repris quelques jours plus tard après rotation des clés et audit d'infrastructure.

Pourquoi c'est important

L'incident Deribit est l'un des hacks d'exchange les mieux gérés à ce jour du point de vue de l'impact client. Le ratio cold/hot a fonctionné comme prévu (99 % intacts), le fonds d'assurance a fonctionné comme prévu (non sollicité), et le bilan de l'entreprise a absorbé la perte immédiate sans perturber le trading ou les retraits utilisateurs.

La leçon est que la différence entre une brèche de hot wallet survivable et une fatale est l'architecture de la custodie, pas la taille de la perte. Les 28 M$ de Deribit étaient un chiffre absolu significatif, mais en contexte ils représentaient moins de 1 % des fonds clients et étaient bien dans le capital-risque de l'entreprise. Comparé à :

• Mt. Gox — un seul hot wallet avec effectivement tous les fonds, aucune séparation.
• Bitmart — hot wallets multi-chaînes avec des pourcentages beaucoup plus élevés des réserves totales.
• Phemex — hot wallets sur 16 chaînes, tous compromis simultanément.
• Deribit — petit pourcentage en hot wallets, absorbé sans impact client.

Le choix de la quantité à conserver en hot est, rétrospectivement, la décision la plus importante qu'un exchange prend sur son architecture de custodie.