1 octobre, des attaquants ont exploité une faille d’interaction entre l’infrastructure de dépôt/retrait Omni et le contrat NEAR Intents, dérobant environ 3,8 millions de dollars depuis le coffre HOT Bridge sur la chaîne BSC
Des sorties anormales ont commencé dès la nuit du 30 septembre. Elles ont été réalisées en cinq opérations en environ six heures, la transaction la plus élevée atteignant environ 1,5 million de dollars
Après qu’une couche de sécurité, SHIELD, a détecté un comportement déviant de la normale, le service a été suspendu ; côté contrat, le correctif a été déployé en environ une heure, et l’échange principal a repris. Les opérations de dépôt/retrait sur 11 chaînes, dont BSC, Polygon, TON, Optimism et Avalanche, restent suspendues pendant 12 heures
La faille se situe au niveau de la vérification des autorisations de dépôt/retrait, et non dans la couche de consensus NEAR !
La destination des fonds volés est déjà fixée, et la fenêtre de récupération est très étroite
On voit en chaîne que les fonds ont d’abord été convertis en BNB puis dispersés. ZachXBT a ensuite retracé l’entrée vers KuCoin, puis le pont a été fait vers le Bitcoin. La décomposition de Bitquery indique qu’environ 76 % ont été convertis en Bitcoin dans 4 portefeuilles, environ 21 % sont arrivés sur KuCoin, et une autre partie a finalisé l’échange par elle-même via NEAR Intents
Le 2 octobre, le directeur général d’Intents, Alex Shevchenko, a déclaré que l’auteur avait été identifié, et a fourni trois adresses de remboursement : BTC, EVM et Solana, avec une date limite fixée au 4 octobre
Ces trois adresses sont vides au moment de la publication. Ce qui peut être gelé ne concerne qu’une partie restée sur KuCoin : elle a déjà été convertie en BTC et n’a pas été dépensée. On ne pourra pas la récupérer en déposant une plainte
L’indemnisation intégrale vient de l’argent propre du projet pour combler le trou : ce n’est pas que les fonds auraient déjà été récupérés. L’officiel n’a pas précisé si cette somme provient des réserves ou des revenus, et n’a pas non plus donné de calendrier de versement
La chronologie explique plus directement le problème : il n’y a pas si longtemps, Intents a encore intercepté environ 50 millions de dollars de fonds liés à des hackers, puis, à la suite, sa propre trésorerie BSC a été percée
Les transactions dépendant du routage d’intentions inter-chaînes reposent sur l’avance de trésorerie fournie par des wallets chauds. Cette fois, c’est la crédibilité de cette activité qui a été touchée, pas la capacité de production de blocs de NEAR. Une fois la reconstitution détaillée faite, le market making et les dépôts/retraits se contracteront
Le prix a déjà montré la différence correspondante
NEAR est passé d’environ 5,34 dollars à 4,84 dollars ; en séance, le cours a touché 4,75 dollars. La baisse a dépassé 8 % à court terme. Le 2 octobre, le cours était encore autour de 5 dollars : la fourchette intrajournalière est d’environ 4,80–5,07 dollars
C’est la réalisation des profits après avoir ramené le cours sous 2 dollars jusqu’à 5,50 dollars vers la fin août : ce n’est pas un retournement de tendance. À 4,75 dollars, on a le plus bas de cette baisse ; 4,50–4,60 dollars constituent le support structurel de la hausse de ce cycle. En haut, 5,14 dollars est une pression à court terme ; 5,34–5,56 dollars sont les plus hauts avant l’incident. S’il n’y revient pas, ce ne sera qu’un rebond
3,8 millions de dollars par rapport à la capitalisation boursière, c’est une petite blessure : on ne peut pas s’en servir comme raison de faire du long, ni comme preuve d’un effondrement de la crédibilité de la chaîne principale
Au-dessus de 4,75 dollars, on traite ça comme une phase de consolidation : si le rebond ne dépasse pas 5,14 dollars, on n’effectue pas de poursuite. Si la clôture journalière passe sous 4,50 dollars, c’est seulement alors que la structure de cette hausse est considérée comme rompue. Ensuite, on visera une zone autour de 4,20 dollars
Après la date limite du 4 octobre, si l’adresse de remboursement est toujours vide et que le calendrier de versement n’est pas arrivé, la prime liée à l’événement restera dans le prix, au lieu de s’estomper d’elle-même