Bitcoin Depot hacké : 3,6M$ volés et 3 jours pour s'en rendre compte

Bitcoin Depot, l'opérateur numéro un des distributeurs automatiques de Bitcoin aux États-Unis, vient de révéler avoir subi un cyberattaque coûteux. Bilan : 3,665 millions de dollars partis en fumée, soit 50,903 BTC volés par un attaquant ayant compromis des identifiants internes.

L'information a été officialisée via un rapport 8-K déposé auprès de la SEC. Selon ce document, l'incident remonte au 23 mars. Le même mois, un nouveau CEO, Alex Holmes, a pris les rênes le 26 mars.

Mais le vrai scandale n'est pas le vol en lui-même. C'est le délai de réaction.

L'enquêteur on-chain ZachXBT a mis les pieds dans le plat : les flux suspects ont en réalité commencé le 20 mars, soit trois jours avant la date officielle avancée par Bitcoin Depot. Les fonds ont transité vers des adresses de dépôt sur KuCoin. Trois jours se sont donc écoulés avant que quiconque chez Bitcoin Depot ne tire la sonnette d'alarme. Pour 3,6 millions de dollars, c'est une faute lourde.

La communauté crypto n'a pas mâché ses mots. Un utilisateur a résumé le sentiment général : "Un délai de 3 jours est beaucoup trop long pour une faille de cette ampleur." Difficile de le contredire.

Cet incident ne survient pas en isolation. Le secteur crypto fait face à une recrudescence des attaques. Bybit a failli perdre 1 milliard de dollars suite à une tentative d'exploitation similaire aux méthodes utilisées lors du hack de Mt. Gox. Heureusement, l'équipe de contrôle des risques a détecté et bloqué les fausses attaques par dépôt à temps.

Parallèlement, ZachXBT a exposé un réseau bien plus structuré : un serveur de paiement nord-coréen impliqué dans un schéma de fraude générant 1 million de dollars par mois. Plus de 390 comptes seraient impliqués, les fonds étant convertis en monnaie fiduciaire via des comptes bancaires chinois, notamment par des plateformes comme Payoneer. Les patterns identifiés correspondent aux méthodes connues des travailleurs IT liés à la Corée du Nord (DPRK).

Pour Bitcoin Depot, cet épisode s'ajoute à une liste de mauvaises nouvelles. La société anticipe déjà une chute de 40% de ses revenus en 2026, pression réglementaire et défis sécuritaires cumulés obligent.

On peut sécuriser des milliers de distributeurs physiques à travers le pays et laisser ses systèmes internes grands ouverts pendant 72 heures. C'est là que réside le vrai problème du secteur : l'humain reste le maillon le plus faible, bien plus que la technologie.

Ce que ça change : quand un opérateur majeur met trois jours à détecter un vol de 3,6M$, ce n'est plus un problème technique, c'est un problème de gouvernance. Les régulateurs ont désormais un argument en béton pour imposer des standards de sécurité minimum aux acteurs crypto, qu'ils le veuillent ou non.