L’IA accélère l’enquête sur le vol chez Bitget

Chainalysis déploie une IA interne pour accélérer l’enquête Bitget

• Suite au vol de 387 millions de dollars chez Bitget le 24 septembre, les enquêteurs de Chainalysis ont collaboré avec la plateforme et les forces de l’ordre pour tracer les actifs volés sur quatre réseaux blockchain.
• Une automatisation personnalisée, fondée sur une IA propriétaire, a réduit le rapprochement des bridges de plus de 20 heures à moins de 10 minutes, permettant d’identifier rapidement les chemins de blanchiment et les mouvements cross-chain.
• Les acteurs attribués à la Corée du Nord représentent désormais plus d’un milliard de dollars volés en 2026 ; une surveillance continue et l’étiquetage des adresses soutiendront les efforts d’interception dans les semaines à venir.

Le vol révélé par Bitget la semaine dernière a déclenché une mobilisation continue chez Chainalysis. Les enquêteurs savaient que les acteurs attribués à la RPDC disperseraient rapidement les 387 millions de dollars, si bien que l’équipe Customer Outcomes s’est tournée vers l’IA propriétaire pour construire une automatisation sur mesure à la hauteur de cette vélocité. Le rapprochement manuel des transactions sur les bridges – une tâche qui prendrait normalement plus de 20 heures – a été compressé à moins de 10 minutes, libérant les analystes pour qu’ils se concentrent sur l’interprétation de flux complexes et dirigent la phase suivante du traçage.

Pendant toute l’opération, Chainalysis a maintenu une communication continue avec Bitget et ses partenaires des forces de l’ordre, partageant des renseignements issus de l’évolution de la situation on-chain. Des centaines de transferts ont déjà eu lieu, les fonds circulant entre Ethereum, XRP, Zcash, Tron et finalement Bitcoin. Le graphe des transactions révèle un vaste réseau de sauts entre protocoles, chacun nécessitant un rapprochement pour préserver la continuité de l’enquête.

Outils sur mesure bâtis sur une plateforme agentique

L’automatisation mise en œuvre n’était pas un simple assistant de construction de graphe. Les enquêteurs de Chainalysis ont utilisé une plateforme agentique interrogeant à la fois des sources de données internes et externes, permettant le développement rapide de solutions adaptées aux spécificités de ce dossier. Les experts gardaient un contrôle total : ils définissaient la logique de rapprochement, validaient chaque résultat et prenaient toutes les décisions stratégiques sur les axes à explorer. Ce qui a changé, c’est l’élimination des tâches manuelles répétitives qui auraient ralenti le rythme de la découverte.

La rapidité est cruciale car des acteurs malveillants sophistiqués – notamment ceux liés à la Corée du Nord – emploient désormais eux-mêmes des automatisations pour fragmenter et obfusquer les fonds volés sur de multiples chaînes et protocoles. Pour suivre le rythme, il faut des outils qui accélèrent la mécanique sans sacrifier le discernement nécessaire à l’interprétation de schémas on-chain ambigus. En quelques minutes après l’identification des adresses contaminées, Chainalysis avait déjà apposé des labels en direct sur sa plateforme de données, fournissant aux équipes de conformité et aux forces de l’ordre des renseignements exploitables.

Cartographier la dispersion initiale et le blanchiment subséquent

Dans les trois heures suivant immédiatement l’exploit, 23 transferts ont déplacé l’intégralité des 387 millions de dollars vers quatre blockchains. Ethereum a reçu 49,7 %, XRP 40,8 %, Zcash 7,6 % et Tron 1,8 %. À partir de ces points d’atterrissage, les enquêteurs ont identifié diverses techniques d’obfuscation : protocoles de liquidité cross-chain, services d’échange instantané, et connexions à des infrastructures de blanchiment établies.

La portion XRP a présenté un défi particulièrement instructif. Plutôt que de convertir sur une plateforme d’échange, les attaquants sont passés par un protocole de liquidité cross-chain et ont retiré du Bitcoin de l’autre côté. De tels protocoles permettent à un utilisateur de déposer un actif sur une chaîne et d’en recevoir un autre sur une chaîne différente, sans aucun compte reliant les deux étapes. Chaque swap laisse néanmoins une trace, et les enquêteurs de Chainalysis ont fait correspondre les dépôts entrants avec les paiements sortants correspondants, reconstituant le bridge que les attaquants espéraient voir effacer la piste.

En environ 36 heures, des dizaines de millions de dollars ont circulé par ce mécanisme. Les enquêteurs ont suivi le Bitcoin issu de ces opérations vers des adresses contrôlées par les attaquants, puis ont poursuivi le traçage via d’autres sauts impliquant des protocoles additionnels. Ce travail s’est appuyé sur plus d’une décennie de données d’attribution cross-chain accumulées par Chainalysis, reliant des activités sur des services qui, autrement, sembleraient indépendants. Une visualisation condensée d’un segment montre les fonds franchissant successivement bridges, mixeurs et plateformes d’échanges décentralisés.

Surveillance continue et partage de renseignements

L’enquête reste active. Dans les prochaines semaines, Chainalysis continuera d’utiliser ses outils personnalisés pour suivre les mouvements de fonds, étiqueter les adresses nouvellement identifiées et coordonner avec les exchanges, émetteurs de stablecoins et autorités. L’objectif est de soutenir les efforts de gel ou de blocage des actifs avant qu’ils ne puissent être liquidés ou déplacés hors de portée.

Les labels signalant les fonds volés apparaissent désormais sur la plateforme Chainalysis, offrant aux institutions partenaires une visibilité sur toute interaction avec une adresse contaminée. Cette couche de renseignement permet l’interdiction en temps réel : les équipes de conformité peuvent filtrer les transactions via les labels mis à jour, et les enquêteurs réagir rapidement lorsqu’un fonds apparaît sur un service surveillé.

Le vol chez Bitget souligne également une tendance plus large. Les acteurs attribués à la Corée du Nord ont désormais volé plus d’un milliard de dollars en cryptomonnaies durant 2026, et leur cadence opérationnelle ne faiblit pas. Les attaquants ont démontré leur maîtrise des protocoles cross-chain, déplaçant les fonds entre Ethereum, XRP, Zcash et Tron en quelques heures, puis utilisant des bridges de liquidité pour convertir du XRP en Bitcoin sans passer par une plateforme centralisée. À chaque étape, les enquêteurs ont dû rapprocher dépôts et retraits entre registres distincts – un travail qui aurait été bien trop lent sans automatisation.

L’expertise humaine est restée centrale tout au long du processus. Les enquêteurs ont défini les paramètres de correspondance des transactions sur bridge, examiné les résultats pour détecter les anomalies, et sélectionné les pistes à explorer. L’IA a géré l’interrogation répétitive des journaux de transactions et l’assemblage des correspondances potentielles ; les analystes ont interprété ces résultats et étendu l’enquête à de nouveaux protocoles et clusters d’adresses. Cette répartition des tâches a permis à l’équipe de suivre le rythme d’adversaires qui eux-mêmes utilisaient l’automatisation pour fragmenter et disperser les fonds volés.

Les données d’attribution cross-chain se sont révélées essentielles. Chainalysis a passé des années à construire le tissu connectif reliant les dépôts sur une chaîne aux retraits sur une autre, même sans identifiant explicite. Dans ce cas, cette infrastructure a permis aux enquêteurs de suivre le XRP dans un protocole de liquidité et de reprendre la piste lorsque le Bitcoin est apparu de l’autre côté. Sans cela, la trace se serait arrêtée à la frontière du protocole.

L’enquête a également mis en lumière la valeur de l’étiquetage en temps réel. Quelques minutes après avoir confirmé qu’une adresse contenait des fonds volés, Chainalysis a ajouté un label visible par tous les utilisateurs de la plateforme. Les exchanges équipés de systèmes de surveillance des transactions intégrant les données Chainalysis pouvaient alors immédiatement signaler tout dépôt ou retrait impliquant ces adresses, offrant des occasions de geler les actifs ou de recueillir des preuves supplémentaires. La rapidité de l’étiquetage détermine directement la fenêtre d’interdiction, et l’automatisation l’a rendue possible.

À l’avenir, les outils développés pour cette affaire donnent un aperçu des capacités d’enquête en évolution. La faculté de déployer rapidement une automatisation personnalisée face à un acteur ou une technique de blanchiment spécifique permet aux enquêteurs de s’adapter au rythme des changements tactiques. Les groupes liés à la Corée du Nord se montrent prêts à expérimenter de nouveaux protocoles et chaînes ; leur opposer cette adaptabilité exige à la fois une expertise pointue et des outils capables de s’étendre sur plusieurs registres sans goulets d’étranglement manuels.

Chainalysis continuera d’affiner l’automatisation et d’élargir le champ des adresses surveillées à mesure que les fonds Bitget franchiront de nouvelles étapes. La collaboration avec les exchanges et les forces de l’ordre se poursuit, et tout renseignement produit sera partagé avec les parties concernées. L’objectif est de réduire la fenêtre de liquidation des fonds volés et d’obtenir une vision plus complète de l’infrastructure soutenant le vol de cryptomonnaies à grande échelle.