Near Intents récupère l'intégralité des 3,8 millions de dollars dérobés

Retour à l’envoyeur. Near Intents a récupéré l’intégralité des 3,8 millions de dollars dérobés lors de l’exploitation de son service de swap inter-chaînes. Les fonds ont été renvoyés moins de deux jours après qu’Alex Shevchenko, directeur général du projet, a affirmé publiquement que l’équipe connaissait l’identité de l’attaquant. Near Intents met désormais fin à son enquête interne. Une éventuelle procédure menée par les autorités reste toutefois distincte de cette décision.

Points clés

L’intégralité des 3,8 millions de dollars dérobés a été restituée moins de deux jours après l’attaque

Alex Shevchenko avait accordé 48 heures à l’auteur de l’exploit pour renvoyer les fonds

Une faille dans l’interaction entre la couche Omni et le contrat principal a permis le détournement

Deux jours auparavant, Near Intents avait bloqué 50 millions de dollars liés au piratage de Bitget

Near Intents récupère les 3,8 millions de dollars dérobés

« Les fonds du piratage de NEAR Intents, d’un montant de 3,8 millions de dollars, ont été intégralement renvoyés. Nous arrêtons l’enquête », a annoncé Alex Shevchenko sur X.

La veille, le dirigeant avait publié des adresses de restitution compatibles avec Bitcoin, les réseaux EVM Ethereum et BNB Chain, ainsi que Solana. Son message s’adressait directement à l’attaquant : « Nous vous avons identifié, monsieur ». L’équipe lui accordait alors 48 heures pour restituer les actifs avant de poursuivre ses démarches.

Alex Shevchenko présentait cette possibilité comme une dernière occasion de suivre une procédure de divulgation responsable, qui consiste à signaler une faille aux développeurs et à passer par un programme de récompense plutôt que de l’exploiter.

Un message joint à une transaction et présenté comme provenant de l’auteur du piratage a ensuite confirmé la restitution.

« Nous avons rendu tous les fonds, nous étions dans notre tort. »

Message onchain attribué à l’auteur de l’exploit et relayé par Alex Shevchenko – Source : Decrypt

Le communiqué remercie également l’équipe pour sa cordialité et invite les chercheurs en sécurité à utiliser les programmes de bug bounty. De son côté, l’enquêteur onchain ZachXBT avait suivi une partie des fonds jusqu’à KuCoin, avant leur conversion et leur transfert vers Bitcoin. Ce passage par une plateforme centralisée a pu faciliter le travail d’identification, sans prouver à lui seul l’identité de l’utilisateur du compte.

Une faille entre la couche Omni et le contrat principal

Near Intents avait interrompu son service après avoir détecté un défaut dans la manière dont sa couche Omni de dépôt et de retrait communiquait avec son contrat principal. Cette faiblesse a permis à l’attaquant de retirer environ 3,8 millions de dollars.

L’équipe avait signalé l’incident aux autorités et promis de rembourser intégralement les utilisateurs concernés. La restitution de l’ensemble des fonds réduit désormais l’exposition financière directe du protocole.

Near Intents permet d’échanger des actifs entre 35 blockchains. L’utilisateur indique le résultat recherché, puis différents teneurs de marché se disputent l’exécution de l’opération. Selon les données du service, plus de 30 milliards de dollars de swaps ont été traités depuis son lancement.

L’incident intervient après une semaine chargée. Deux jours avant l’exploitation, Near Intents avait bloqué une tentative de conversion portant sur plus de 50 millions de dollars rattachés au piratage de Bitget, estimé à 387,5 millions. Bitget et la société d’analyse Elliptic ont relié cette attaque à des acteurs nord-coréens.