Bitcoin Depot : 3,6 millions de dollars en BTC volés

Bitcoin Depot, l operateur du plus vaste reseau de distributeurs automatiques de Bitcoin aux Etats-Unis avec plus de 9 000 kiosques repartis dans 47 Etats, a confirme avoir ete victime d une cyberattaque ayant entraine le vol d environ 50,903 bitcoins, soit approximativement 3,665 millions de dollars au cours actuel. L intrusion a ete detectee le 23 mars 2026 lorsque les equipes de securite ont identifie un acces non autorise a l environnement informatique de l entreprise. Les attaquants ont reussi a obtenir les identifiants des comptes de reglement d actifs numeriques, leur permettant de transferer les fonds avant que l acces ne soit bloque. Cet incident intervient moins d un an apres une precedente fuite de donnees ayant expose les informations personnelles de 26 000 utilisateurs, incluant noms, numeros de telephone, adresses email et numeros de permis de conduire, un scenario qui rappelle le hack de Drift Protocol par des groupes nord-coreens dans l ecosysteme crypto.

Les faits

Selon le depot reglementaire effectue par Bitcoin Depot aupres de la SEC, l attaquant a exploite une compromission de l environnement informatique corporate pour acceder aux identifiants des comptes de reglement utilises pour le traitement des transactions Bitcoin. Le transfert des 50,9 BTC a ete effectue rapidement, avant que les protocoles de reponse a incident ne permettent de couper l acces. L entreprise a immediatement engage des experts en cybersecurite externes et notifie les forces de l ordre.

Bitcoin Depot affirme que l incident a ete contenu dans l environnement corporate et n a pas affecte les plateformes clients, les systemes de kiosques ni les donnees des utilisateurs. Cependant, cette declaration doit etre accueillie avec prudence : lors de la precedente breche de juillet 2025, l entreprise avait mis un an avant de notifier les personnes affectees. Le secteur des ATM crypto reste une cible privilegiee en raison de la nature irreversible des transactions blockchain et des volumes financiers en jeu, comme l illustre la campagne nord-coreenne ciblant les developpeurs crypto.

Impact et exposition

Les 9 000 kiosques Bitcoin Depot continuent de fonctionner normalement selon l entreprise. L impact financier direct est de 3,665 millions de dollars, mais les consequences reputationnelles sont potentiellement plus lourdes pour une entreprise cotee en bourse (NASDAQ: BTM). Les utilisateurs des kiosques doivent rester vigilants face a d eventuelles tentatives de phishing exploitant la notoriete de l incident. Plus largement, cet evenement souligne la fragilite des infrastructures de garde d actifs numeriques, meme chez les acteurs majeurs du secteur. La gestion des secrets et des acces aux wallets reste le maillon faible de nombreuses plateformes crypto, un sujet que nous avions deja aborde dans notre analyse sur la compromission d Affinity via un compte administrateur.

Recommandations

• Si vous etes client Bitcoin Depot : surveillez vos comptes pour toute activite suspecte et mefiez-vous des emails ou SMS pretendant provenir de l entreprise
• Pour les operateurs de plateformes crypto : implementer des wallets multi-signatures avec seuils de validation pour les transferts importants
• Separer strictement les environnements de garde d actifs numeriques des systemes corporate
• Mettre en place des alertes temps reel sur tout transfert depassant un seuil defini, integrees a votre strategie de detection des kill chains