Le bouclier fissuré. NEAR Intents a perdu 3,8 millions de dollars dans une exploitation. Celle-ci a forcé la coupure des dépôts et retraits sur onze réseaux. Pourtant, quelques jours plus tôt, le protocole avait bloqué une tentative d’échange de 50 millions de dollars du pirate de Bitget.
L’équipe a d’abord suspendu le trading cross-chain, puis promis un remboursement intégral. Or NEAR avait justement bloqué ces 50 millions de dollars. L’exploit survient donc avant même que la poussière ne retombe.
Un bug du système Omni met onze réseaux à l’arrêt
Comprenons bien. L’attaque exploite un bug entre l’infrastructure Omni et le contrat de NEAR Intents. Omni gère les dépôts et retraits du protocole. En conséquence, NEAR Intents a coupé les dépôts et retraits sur onze réseaux. La liste comprend BNB Smart Chain, Polygon, TON, Optimism, Avalanche, Stellar, Monad, X Layer, ADI, Scroll et Plasma.
Le préjudice atteint environ 3,87 millions d’USDT. Ces fonds proviennent d’un seul contrat, déployé sur BNB Chain. Autrement dit, l’exploitation n’a pas frappé les onze chaînes.
NEAR confirme le bug
Dans un communiqué publié sur X le 1er octobre, NEAR Intents confirme ce bug. L’équipe chiffre la perte à environ 3,8 millions de dollars, selon un rapport préliminaire.
Elle a depuis corrigé la faille côté contrat, et les services devaient rouvrir en une heure environ. En revanche, les dépôts et retraits sur les onze réseaux restaient coupés une douzaine d’heures. Il fallait en effet réparer l’infrastructure Omni.
« Les services de NEAR Intents ont été interrompus plus tôt dans la journée à la suite d’un incident de sécurité. Cet incident est dû à un bug dans l’interaction entre l’infrastructure de dépôt et de retrait Omni et le contrat intelligent de NEAR Intents. Le rapport préliminaire fait état d’une perte totale d’environ 3,8 millions de dollars. Ces fonds seront intégralement remboursés.»
Les utilisateurs qui détiennent des actifs de ces chaînes dans NEAR Intents pourront les échanger dès la reprise. C’est le cas, par exemple, des fonds logés dans le portefeuille HOT ou sur near.com.
Par ailleurs, l’équipe dit avoir saisi les forces de l’ordre. Elle travaille aussi avec des spécialistes de la sécurité et de l’analyse on-chain pour tracer les fonds. Enfin, elle promet un rapport détaillé dans les prochains jours.
Voilà pour la version officielle. Mais sur la blockchain, les traces racontent une autre partie de l’histoire.
KuCoin, bitcoin : la piste des fonds volés
Sur ce terrain, c’est l’enquêteur ZachXBT qui a donné l’alerte sur son canal Telegram. D’après lui, le hot wallet de NEAR Intents sur BSC a enregistré plusieurs sorties anormales. Le portefeuille a ensuite cessé de traiter les transactions.
« Alerte communauté : Near Intents a subi une exploitation de plus de 3,8 millions de dollars. Son hot wallet sur BSC a enregistré plusieurs sorties de fonds anormales il y a quelques heures.
Le hot wallet 0x233c de Near Intents a depuis cessé de traiter les transactions. La page de statut du site signale un incident en cours sur plusieurs chaînes EVM.
Les fonds sont immédiatement partis vers KuCoin, puis ont été bridgés vers Bitcoin.
Adresse du vol sur BSC :
0x09fd1f5d9f185067a92493e43aa259ea4ab3ad37»
ZachXBT, sur Telegram
Bitquery affine toutefois ce trajet. Dans une analyse publiée sur X, la société d’analyse on-chain détaille le parcours du butin. Le pirate a d’abord vidé le coffre en cinq retraits, entre le 30 septembre et le 1er octobre. Selon ses relevés du 1er octobre, 76 % des fonds dorment désormais en bitcoin : 34,69 BTC répartis sur quatre portefeuilles, encore intacts. Environ 21 %, soit 802 000 dollars, ont rejoint KuCoin par deux routes. Enfin, 2 % reposent sur Hyperliquid, sous la forme d’un jeton Monero. De son côté, Unchained n’a pas confirmé la destination KuCoin.
Dans la nuit du 1er au 2 octobre, Alex Shevchenko, cofondateur d’Aurora et figure de l’écosystème NEAR, affirme sur X avoir « identifié » l’auteur de l’attaque. Il lui demande de restituer les fonds à des adresses Bitcoin, BNB/Ethereum et Solana. Il lui laisse 48 heures avant la fermeture de la fenêtre de divulgation responsable.
Le pirate de Bitget avait déjà tenté sa chance quelques jours plus tôt
Quelques jours avant cet exploit, NEAR Intents avait refusé un échange de 50 millions de dollars. L’offre venait du hacker de Bitget. Selon Bitget, ce piratage dépasse les 350 millions de dollars. Pour autant, rien ne relie à ce stade les deux événements.
