Bybit : les signataires valident un transfert… qui livre leur coffre

Une opération de trésorerie doit déplacer des actifs entre deux portefeuilles de Bybit. Plusieurs personnes doivent donner leur accord. Le 21 février 2025, leurs signatures autorisent pourtant une opération qui livre le contrôle du portefeuille à l’attaquant. Environ 1,5 milliard de dollars d’actifs sont dérobés.

L’enquête technique situe une étape décisive chez Safe, fournisseur de l’interface de signature. Un poste de développeur compromis permet de modifier une ressource servie aux utilisateurs. Les signataires voient une opération attendue, tandis que les données réellement présentées à la signature ont été altérées.

Le point de rupture n’est donc pas une clé cryptographique devinée par un ordinateur surpuissant. C’est la confiance entre l’écran, les personnes chargées de contrôler et l’opération finalement approuvée. Plusieurs signatures peuvent confirmer la même tromperie si elles dépendent de la même représentation faussée.

Les sorties d’actifs déclenchent l’incident public et les investigations. Bybit mobilise des enquêteurs et organise sa liquidité ; Safe reconstruit son environnement et renouvelle des accès. Le rapport intermédiaire cité par Bybit ne trouve pas de compromission de sa propre infrastructure. Cette conclusion porte sur le périmètre examiné, pas sur toute faille imaginable.

Le FBI attribue le vol à des acteurs nord-coréens suivis sous le nom TraderTraitor. Les enquêteurs observent ensuite la conversion et la dispersion des actifs sur plusieurs réseaux. Une attribution de groupe ne fournit pas automatiquement le nom de chaque opérateur.

L’affaire révèle une faiblesse précise : posséder un coffre et exiger plusieurs accords ne suffit pas si les gardiens sont conduits à signer autre chose que ce qu’ils croient vérifier. Le montant volé, le rétablissement des réserves et l’argent effectivement récupéré restent des mesures différentes.