La plateforme d'échange de cryptomonnaies taïwanaise « BitoPro » admet une faille de sécurité de 11,5 millions de dollars suite au rapport de ZachXBT

Le 2 juin, ZachXBT, enquêteur spécialisé dans les cryptomonnaies, a affirmé que la plateforme d'échange taïwanaise BitoPro avait probablement été piratée, entraînant une perte de près de 11,5 millions de dollars. Des sorties de fonds suspectes ont été enregistrées le 8 mai sur les portefeuilles en ligne Tron, Ethereum, Solanaet Polygon, et les actifs volés ont été vendus via des plateformes d'échange décentralisées (DEX).

Un expert en cryptomonnaies a révélé l'affaire dimanche, affirmant que BitoPro avait probablement été piraté et que les fonds avaient été transférés vers un service de mixage de cryptomonnaies. Selon ZachXBT, le butin a été extrait de portefeuilles en ligne sur plusieurs blockchains et blanchi via Tornado Cash et Thorchain.

Les fonds étaient ensuite déposés sur Tornado Cash ou transférés Bitcoin via THORChain avant d'être transférés sur Wasabi. La plateforme n'a pour l'instant pas reconnu officiellement l'incidentdentse contentant de suspendre ses services pour « maintenance du système ».

BitoPro reconnaît une faille de sécurité plusieurs semaines après l'dent  

【Communiqué officiel de BitoPro : 2 juin 2025】
BitoPro a récemment subi une cyberattaque sur un ancien portefeuille en ligne lors d'une mise à jour de son système. Dès sa détection, nous avons immédiatement mis en œuvre une procédure d'urgence afin de sécuriser les actifs en les transférant vers de nouveaux portefeuilles et en bloquant l'attaquant.

– BitoGroup 幣託集團 (@BitoEx_Official) 2 juin 2025

BitoPro a finalement confirmé, trois semaines après l'dent , avoir été victime d'une faille de sécurité dans son système de portefeuille. Le 2 juin, la plateforme a indiqué que la brèche s'était produite lors d'une mise à jour du système de portefeuille, lorsqu'un attaquant a exploité une ancienne faille de sécurité dans un portefeuille en ligne pendant une réallocation de fonds interne.

Le 9 mai, BitoPro a annoncé une période de maintenance pour sa plateforme, qui a été résolue le jour même. Les dépôts, les retraits et toutes les fonctionnalités de trading sont restés opérationnels pendant qu'une société tierce spécialisée dans la sécurité blockchain était mandatée pour tracles fonds volés.

Cependant, de nombreux utilisateurs ont depuis signalé être dans l'incapacité de retirer des USDt (USDT).

« Nous déclarons par la présente que la plateforme dispose de réserves suffisantes d'actifs virtuels et que les droits des utilisateurs ne sont aucunement affectés. Depuis l'dent, les fonctions de rechargement, de retrait et de transaction des utilisateurs sont restées normales. »

–BitoPro

BitoPro a promis de publier prochainement l'adresse de son nouveau portefeuille en ligne pour vérification externe, afin de démontrer son engagement envers la sécurité et la transparence des actifs. L'équipe de la plateforme a ajouté que de nombreux actifs étaient stockés depuis longtemps dans des portefeuilles hors ligne, sans connexion externe, et n'avaient jamais été compromis, garantissant ainsi la sécurité globale des actifs.

L'équipe a également déclaré qu'elle continuerait d'améliorer les mécanismes de protection de la sécurité de l'information, d'optimiser les processus de gestion des portefeuilles et les capacités de surveillance, et de protéger la sécurité des actifs de chaque utilisateur.

ZachXBT estime que le retard de BitoPro à rendre publique la violation de données était injustifié

Souhaitez-vous expliquer à la communauté pourquoi plusieurs de vos portefeuilles en ligne ont enregistré des sorties de fonds suspectes d'environ 11,5 millions de dollars le 8 mai 2025, alors que vous n'avez toujours pas divulgué cet incident de sécuritédent X ou Telegram plusieurs semaines plus tard ? pic.twitter.com/HlD0c93Or4

— ZachXBT (@zachxbt) 2 juin 2025

Le Sherlock Holmes de la crypto a également remis en question la réticence de BitoPro à rendre public le piratage et la perte de fonds sur X ou Telegram semaines (~25 jours) après l'dentde sécurité présumé.

Il a récemment exigé de véritables conséquences, notamment pour les mineurs qui échangent des cartes SIM et pratiquent le phishing, soulignant que les lois canadiennes et européennes étaient un peu trop indulgentes envers ces jeunes acteurs malveillants.

Cependant, SomaXBT, un autre survivant d'escroquerie devenu enquêteur sur les menaces liées aux cryptomonnaies, a affirmé que l'équipe de BitoPro travaillait probablement en coulisses pour récupérer les fonds volés afin de surprendre ses utilisateurs avec une histoire de vol et de récupération spectaculaire.

Les utilisateurs de la plateforme ont partagé l'affirmation de ZachXBT sur le canal Telegram officiel de BitoPro, où un administrateur a répondu en indiquant qu'ils venaient de recevoir de nombreuses demandes et qu'ils répondraient en conséquence une fois les enquêtes terminées.

Au moment de la publication, l'étendue des dommages subis par les actifs des utilisateurs sur la plateforme d'échange reste incertaine, et les auteurs des attaques n'ont pas encore étédent.