Hack Near Intents : Où Sont Passés Les 3,8 Millions Volés

Quelques jours après avoir refusé un échange de 50 millions de dollars attribué au pirate de Bitget, Near Intents s’est retrouvé lui-même vidé d’environ 3,8 millions. Le contraste est saisissant : le protocole qui venait de jouer les gardiens a vu son propre coffre se fissurer. Entre le 30 septembre et le 1er octobre 2026, un bug d’interaction entre l’infrastructure de dépôts et de retraits Omni et le contrat intelligent du protocole a permis des sorties anormales. Le préjudice, chiffré à près de 3,87 millions d’USDT dans les premiers relevés, ne vient pas de onze chaînes à la fois. Il sort d’un seul contrat, déployé sur BNB Chain. Pourtant, les dépôts et retraits ont été coupés sur onze réseaux. La poussière n’était pas retombée que les fonds, eux, avaient déjà changé de forme.

Ce que l’on sait vraiment du trou de 3,8 millions

L’histoire officielle et la piste on-chain ne racontent pas exactement la même chose. Elles se recoupent sur le montant, sur la nature du bug et sur la promesse de remboursement. Elles divergent dès qu’il s’agit de savoir où l’argent a atterri, qui le détient encore, et si l’auteur de l’attaque est déjà identifié au-delà d’une déclaration publique. Pour un lecteur qui a des fonds dans un portefeuille HOT ou sur near.com, la question n’est pas théorique. Elle est immédiate : mes actifs sont-ils gelés, échangeables, ou déjà partis ?

Le protocole a d’abord suspendu le trading cross-chain, puis promis un remboursement intégral. Le communiqué publié sur X le 1er octobre parle d’un incident de sécurité, d’un bug d’interaction, et d’une perte d’environ 3,8 millions de dollars selon un rapport préliminaire. La faille côté contrat aurait été corrigée, avec une réouverture des services annoncée en une heure environ. Les dépôts et retraits sur les onze réseaux, eux, sont restés coupés une douzaine d’heures, le temps de réparer l’infrastructure Omni. Cette distinction compte. Un correctif de contrat ne remet pas magiquement en marche des ponts, des relais et des files d’attente de retraits.

Pourquoi ce protocole attire autant de volume, et autant de risque

Near Intents n’est pas un simple échangeur de jetons sur une seule chaîne. Le principe des intents consiste à laisser l’utilisateur exprimer un résultat, par exemple recevoir tel actif sur tel réseau, pendant que des solveurs et une infrastructure de règlement s’occupent du chemin. C’est élégant sur le papier. C’est aussi un empilement de contrats, de relais, de comptes chauds et de files de dépôts. Chaque couche ajoute une surface. Quand l’une d’elles interprète mal un message de l’autre, l’argent peut sortir sans que l’intention de l’utilisateur ait jamais été la sienne.

Le cross-chain a longtemps été vendu comme la fin des frictions. Déposer sur une chaîne, retirer sur une autre, sans passer par un intermédiaire central visible. En pratique, quelqu’un détient toujours la logique qui autorise la sortie. Ici, cette logique s’appelle Omni pour la partie dépôts et retraits. Le contrat de Near Intents, lui, porte la règle métier. Le bug ne se situe pas dans une phrase marketing. Il se situe dans la jointure. Deux systèmes qui se font confiance un peu trop, ou qui ne vérifient pas la même chose au même moment, suffisent à ouvrir une porte.

Cette architecture explique aussi la réaction en cascade. Même si le préjudice est localisé sur BNB Chain, l’équipe a coupé les dépôts et retraits sur BNB Smart Chain, Polygon, TON, Optimism, Avalanche, Stellar, Monad, X Layer, ADI, Scroll et Plasma. Couper large est une décision de confinement. Tant que l’on ne sait pas si le même schéma d’appel peut être rejoué ailleurs, laisser les robinets ouverts revient à parier. Les utilisateurs l’ont vécu comme une panne généralisée. Techniquement, c’était un arrêt préventif autour d’un trou déjà exploité sur une chaîne.

Le calendrier, plus parlant que le montant

Les dates racontent une course. Les retraits anormaux s’étalent, selon l’analyse publiée par Bitquery, entre le 30 septembre et le 1er octobre, en cinq mouvements. L’alerte communautaire de ZachXBT arrive quand le hot wallet a déjà cessé de traiter. Le communiqué officiel suit. Dans la nuit du 1er au 2 octobre, Alex Shevchenko, cofondateur d’Aurora et figure de l’écosystème Near, affirme avoir identifié l’auteur et lui laisse 48 heures pour restituer les fonds, avant la fermeture d’une fenêtre de divulgation responsable.

Ce séquençage a une conséquence simple. Au moment où le grand public lit « incident en cours », une partie du butin a déjà changé de chaîne et de forme. Un stablecoin sur BNB Chain ne se récupère pas comme un bitcoin déjà déplacé. Plus le temps passe, plus la promesse de remboursement repose sur la trésorerie du protocole, pas sur la saisie des fonds. C’est souvent le vrai sujet, derrière le chiffre choc.

Un bug d’interaction, pas un roman de clé volée

Le wording officiel mérite d’être lu lentement. L’incident est attribué à un bug dans l’interaction entre l’infrastructure Omni et le contrat intelligent. Ce n’est pas la même phrase qu’une clé d’administration compromise, qu’un employé piégé, ou qu’une signature frauduleuse sur un multisig. Un bug d’interaction peut être un contrôle manquant, un montant non recalculé, une autorisation trop large, un message rejouable, un état de dépôt accepté deux fois. Tant que le rapport détaillé n’est pas publié, toute précision technique au-delà de cette description reste une hypothèse.

Cette nuance change la lecture du risque résiduel. Une clé volée se révoque. Un bug d’interaction se corrige, puis se reteste sur chaque chemin qui appelle la même fonction. D’où l’écart entre la correction annoncée côté contrat et la remise en service plus lente d’Omni. Les utilisateurs qui attendaient une heure ont parfois attendu une douzaine d’heures pour les mouvements entrants et sortants. Ce décalage n’est pas un détail de communication. C’est la preuve que la surface touchée dépassait le seul contrat incriminé.

Les services ont été interrompus à la suite d’un incident dû à un bug d’interaction entre l’infrastructure Omni et le contrat. Le rapport préliminaire fait état d’environ 3,8 millions de dollars. Ces fonds seront intégralement remboursés.

Communiqué de Near Intents, 1er octobre 2026, reformulé

La promesse est nette. Elle n’est pas encore un virement. Un remboursement intégral peut passer par un fonds de réserve, par une avance des équipes, par une récupération partielle auprès d’un exchange, ou par un mélange des trois. Aucun calendrier utilisateur, aucune adresse de remboursement, aucun critère d’éligibilité détaillé n’accompagnait les premières heures du communiqué. Pour un protocole qui vit de la confiance dans le règlement, ce vide est aussi important que le bug.

Onze réseaux à l’arrêt, un seul contrat vidé

La liste des chaînes coupées donne une idée de l’ambition du produit. BNB Smart Chain et Polygon sont des terres de stablecoins et de volume retail. Optimism et Avalanche couvrent une partie de l’EVM que les traders utilisent pour bouger vite. TON et Stellar sortent du strict monde Ethereum. Monad, X Layer, ADI, Scroll et Plasma élargissent encore la carte, entre réseaux récents et couches d’exécution plus confidentielles. Couper tout cela d’un coup, c’est admettre que le même tuyau Omni dessert des univers très différents.

Pourtant, l’exploitation n’a pas « frappé » ces onze chaînes au sens où leurs coffres auraient tous été drainés. Les fonds viennent d’un contrat sur BNB Chain. La page de statut signalait un incident sur plusieurs chaînes EVM, ce qui colle avec un composant partagé plutôt qu’avec onze failles indépendantes. Pour l’utilisateur, la différence est concrète. Ses jetons sur Polygon ou Optimism n’ont pas nécessairement été dérobés. Ils ont été rendus immobiles, le temps de vérifier que le chemin de sortie n’était plus dangereux.

L’équipe a précisé que les détenteurs d’actifs de ces chaînes dans Near Intents pourraient les échanger dès la reprise. Le cas cité concerne notamment les fonds logés dans le portefeuille HOT ou sur near.com. Échanger n’est pas retirer. Tant que les dépôts et retraits restent fermés, un solde visible peut être un solde comptable, pas un solde mobilisable vers un wallet personnel. Cette frontière, souvent mal lue dans l’urgence, évite les faux espoirs comme les fausses paniques.

Le hot wallet qui a cessé de répondre

C’est l’enquêteur ZachXBT qui a donné l’alerte sur son canal Telegram, avant que le récit grand public ne se stabilise. Selon lui, le hot wallet de Near Intents sur BSC a enregistré plusieurs sorties anormales, puis a cessé de traiter les transactions. Il désigne le hot wallet commençant par 0x233c, et une adresse de vol sur BSC : 0x09fd1f5d9f185067a92493e43aa259ea4ab3ad37. Les fonds, écrit-il, sont immédiatement partis vers KuCoin, puis ont été bridgés vers Bitcoin.

Un hot wallet n’est pas le coffre froid d’un protocole. C’est le compte qui doit rester liquide pour honorer des retraits rapides. Sa compromission, ou son drainage via un bug, est le scénario classique des incidents de bridges et d’agrégateurs. L’arrêt des transactions après les sorties peut être une mesure défensive, un solde épuisé, ou les deux. L’adresse citée devient, dans ce genre d’affaire, le point de départ de toutes les étiquettes publiques. Elle ne prouve pas à elle seule l’identité du détenteur.

Unchained, de son côté, n’a pas confirmé la destination KuCoin. Cet écart n’est pas un détail de presse. Une arrivée sur un exchange centralisé ouvre une porte : gel éventuel, demande aux autorités, identification du déposant. Une arrivée non confirmée laisse la piste en suspens. Tant que l’exchange ne communique pas, et tant qu’un second analyste indépendant ne recoupe pas les dépôts, la mention KuCoin reste une hypothèse d’enquêteur, pas un fait judiciaire.

Bitquery et la carte du butin

Bitquery a publié sur X une lecture plus granulaire du trajet. Le pirate aurait vidé le coffre en cinq retraits. Au 1er octobre, environ 76 % des fonds dormiraient en bitcoin : 34,69 BTC répartis sur quatre portefeuilles, encore intacts. Environ 21 %, soit près de 802 000 dollars, auraient rejoint KuCoin par deux routes. Environ 2 % reposeraient sur Hyperliquid, sous la forme d’un jeton lié à Monero. Ces pourcentages bougeront si de nouveaux sauts apparaissent. Ils donnent toutefois une photographie utile : la majorité du butin n’était pas, à cette heure, en train de circuler. Elle attendait.

Quatre portefeuilles bitcoin intacts, c’est à la fois une bonne et une mauvaise nouvelle. Bonne, parce qu’un solde immobile se surveille, se marque, et peut dissuader un deposit sur une plateforme régulée. Mauvaise, parce que Bitcoin n’offre pas de bouton d’annulation. Si ces pièces bougent vers un mixeur, un pair-à-pair opaque ou une succession de petits échanges, la promesse de les « récupérer » s’éloigne. Le jeton Monero sur Hyperliquid ajoute une couche symbolique : même sans sortir vers la chaîne Monero elle-même, le choix d’un actif associé à la confidentialité signale une intention de brouiller la lecture.

Part estimée	Forme	Lecture au 1er octobre
76 %	34,69 BTC sur quatre adresses	Soldes encore intacts selon Bitquery
21 %	Environ 802 000 dollars	Deux routes vers KuCoin, non confirmées par Unchained
2 %	Jeton Monero sur Hyperliquid	Fraction faible, signal de confidentialité

Ces chiffres ne ferment pas l’enquête. Ils empêchent le récit paresseux d’un magot déjà blanchi en totalité. Une majorité immobile laisse une fenêtre. C’est précisément dans cette fenêtre que s’inscrit l’appel public lancé dans la nuit.

Quarante-huit heures, trois familles d’adresses

Alex Shevchenko a affirmé sur X avoir identifié l’auteur de l’attaque. Il lui demande de restituer les fonds vers des adresses Bitcoin, BNB ou Ethereum, et Solana. Le délai annoncé est de 48 heures, avant la fermeture d’une fenêtre de divulgation responsable. La formulation est celle d’un white-hat contraint, ou d’un attaquant à qui l’on offre une sortie sans exposition immédiate du nom. Elle n’est pas une plainte publiée, ni un mandat. Elle est une pression publique, adossée à la menace de nommer.

Le choix des réseaux de restitution n’est pas anodin. Bitcoin rejoint l’endroit où dort déjà la plus grosse part. BNB et Ethereum couvrent l’univers d’origine et les stables. Solana élargit la porte de sortie vers un écosystème liquide. Demander un retour multi-chaînes, c’est réduire l’excuse technique. Celui qui peut bridger vers Bitcoin peut, en théorie, renvoyer. Reste à savoir si la personne désignée contrôle vraiment les quatre portefeuilles, ou seulement une étape du trajet.

Une identification publique non étayée par des preuves vérifiables expose aussi l’écosystème. Si le nom circule trop tôt, un tiers peut être mis en cause à tort. Si le nom ne sort jamais, la fenêtre ressemble à un bluff. Le bon équilibre, dans ce genre d’affaire, se joue hors des fils X : preuves transmises aux forces de l’ordre, exchanges prévenus, adresses marquées. Le message public sert surtout à figer les soldes, pas à remplacer l’enquête.

Le pirate de Bitget, voisin de calendrier, pas de preuve

Quelques jours plus tôt, Near Intents avait refusé un échange de 50 millions de dollars. L’offre venait, selon le récit relayé, du hacker de Bitget. Bitget évoque de son côté un piratage dépassant les 350 millions de dollars. Le protocole a donc bloqué une tentative massive, puis s’est fait prendre une somme bien plus petite par un autre chemin, ou par le même acteur sans que le lien soit établi. À ce stade, rien ne relie les deux événements. Le rapprocher est tentant. Le démontrer est une autre affaire.

La coïncidence éclaire pourtant un point de méthode. Un agrégateur d’intents voit passer des flux que les exchanges ne veulent plus voir. Bloquer 50 millions suppose une surveillance, des listes, une capacité à refuser une route. Se faire extraire 3,8 millions juste après suppose que cette surveillance ne couvrait pas le bug Omni. Les deux faits peuvent coexister sans complot : une porte bien gardée à l’entrée des swaps, une serrure défaillante sur le local technique des retraits.

Pour le marché, la juxtaposition a pesé plus lourd que la preuve manquante. Un protocole qui « arrête » un pirate célèbre, puis annonce sa propre perte, envoie un signal ambigu. Les titres retiennent les 50 millions refusés et les 3,8 millions perdus. Le lecteur pressé conclut à une revanche. L’analyste doit garder la phrase exacte : aucun lien établi. Jusqu’à un recoupement d’adresses, cette hypothèse reste un décor, pas une cause.

Le cours, l’ETF, et le mauvais timing

Le jeton NEAR a reculé après l’annonce. L’ETF NEAR de Bitwise, lancé deux jours plus tôt, a cédé environ 7 %. Le produit financier n’est pas le contrat hacké. Il est exposé au récit. Un lancement tout frais n’a pas d’historique de crise pour rassurer les allocataires. Une baisse de 7 % sur un support jeune dit surtout que la nouvelle a été lue comme un risque d’écosystème, pas comme un incident isolé de coffre sur BNB Chain.

Il faut séparer le jeton, le protocole d’intents et la fondation. Une perte sur un service de règlement ne dilue pas mécaniquement l’offre de NEAR. Elle peut en revanche tarir des volumes, retarder des intégrations, et nourrir une décote de confiance. Les articles qui additionnent la chute du cours et le montant volé mélangent deux comptabilités. L’une est un préjudice de trésorerie à rembourser. L’autre est une réévaluation de marché, parfois plus coûteuse, souvent plus brève.

Le calendrier de l’ETF ajoute une ironie sèche. Deux jours de cotation, puis un incident sur un produit phare de l’écosystème. Les gérants n’opèrent pas le hot wallet. Leurs souscripteurs, eux, lisent le même fil. Dans un marché où les produits indiciels crypto restent jeunes, la première crise médiatique pèse sur la collecte bien au-delà du fondamental du jour.

Ce que « remboursement intégral » veut dire, et ce qu’il ne dit pas

La phrase la plus lue du communiqué est aussi la plus engageante. Rembourser intégralement 3,8 millions est crédible pour une organisation qui brasse davantage, à condition que la trésorerie soit libre et que le périmètre soit clair. Rembourse-t-on le notionnel en USDT au moment du drain, le notionnel en dollars, ou l’actif exact que l’utilisateur croyait détenir ? Les cinq retraits sortent d’un contrat. Les utilisateurs, eux, voient des soldes répartis. Sans tableau d’éligibilité, la promesse flotte.

L’histoire récente de la finance décentralisée est pleine de remboursements annoncés, puis échelonnés, puis partiels. Parfois l’exchange qui a reçu les fonds gèle une fraction. Parfois la réserve couvre le trou en quelques jours. Parfois un token de créance apparaît, et le mot « intégral » change de sens. Rien de tout cela n’est écrit ici. C’est précisément pour cela qu’il faut le garder en tête : la qualité d’une promesse se mesure au premier virement identifiable, pas au adjectif du communiqué.

Les forces de l’ordre ont été saisies. Des spécialistes de la sécurité et de l’analyse on-chain sont mobilisés. Un rapport détaillé est promis. Ces trois éléments forment le minimum sérieux. Ils ne raccourcissent pas le délai de restitution bitcoin. Ils documentent. Pour un utilisateur bloqué, la documentation rassure moins qu’un solde à nouveau retirable. Les deux rythmes, judiciaire et opérationnel, vont diverger. Il faudra les suivre séparément.

Comment lire une adresse sans se raconter d’histoire

L’adresse BSC citée par ZachXBT et le préfixe du hot wallet suffisent à lancer une veille. Ils ne suffisent pas à conclure. Une sortie peut être un retrait légitime massif, un bug qui autorise un tiers, ou un mouvement interne mal étiqueté. Le faisceau devient solide quand plusieurs analystes voient les mêmes cinq transactions, les mêmes montants, et les mêmes sauts suivants. Bitquery apporte ce second regard sur la répartition. L’absence de confirmation KuCoin par Unchained rappelle que le saut vers un exchange reste le maillon fragile du récit.

Bridger vers Bitcoin juste après un drain est un classique. Le stablecoin est facile à geler sur une plateforme qui coopère. Le bitcoin l’est moins, surtout s’il n’a pas encore touché un acteur régulé. Les 34,69 BTC immobiles sont donc le cœur de la surveillance. Tout mouvement depuis ces quatre portefeuilles va reclasser l’affaire : tentative de blanchiment, retour négocié, ou simple consolidation. Jusque-là, l’image est celle d’un butin mis à l’abri, pas celle d’un butin dépensé.

Le fragment sur Hyperliquid, faible en montant, est utile comme signature comportementale. Passer par un marché de perpétuels ou par un jeton inspiré de Monero n’est pas la route la plus discrète en volume. C’est une route qui multiplie les journaux d’ordres. Plus il y a de venues, plus il y a de chances qu’une obligation de coopération existe quelque part. Deux pour cent ne sauvent pas une enquête. Ils peuvent l’ancrer.

Omni, le composant que personne ne regardait

Dans la communication grand public, Omni apparaît comme un nom technique. Pour le protocole, c’est le système qui gère dépôts et retraits. Autrement dit, la caisse. Un bug entre la caisse et le contrat métier est le scénario que les audits séparent souvent en deux lots : d’un côté le contrat vérifié, de l’autre l’infrastructure opérante, moins lisible, parfois hors du périmètre du rapport. L’incident remet cette frontière au centre. Un contrat impeccable ne protège pas d’un appel mal formé accepté par la couche d’à côté.

La remise en service annoncée en deux temps le confirme. Corriger le contrat peut prendre le temps d’un déploiement et d’une vérification. Réparer Omni, puis rouvrir onze réseaux, demande de rejouer des files, de resynchroniser des soldes, de s’assurer qu’aucun retrait en attente n’utilise l’ancien chemin. Une douzaine d’heures n’est pas longue pour ce chantier. Elle est longue pour un utilisateur qui voit un statut rouge et des rumeurs de wallet vidé. La pédagogie de cet écart a manqué dans les premières heures, comme souvent.

Les réseaux concernés mélangent des environnements matures et des environnements jeunes. Stellar et TON n’ont pas le même modèle de compte que Polygon. Scroll et Plasma n’ont pas la même profondeur de liquidité qu’Avalanche. Un composant unique qui parle à tous ces mondes est un gain de produit et un risque de corrélation. Quand il tombe, tout tombe ensemble, même si l’argent n’est sorti qu’à un seul endroit. C’est le prix des intents universels.

Ce que les utilisateurs peuvent vérifier sans céder à la rumeur

Premier réflexe utile : distinguer un solde affiché d’un retrait exécuté. Tant que la page de statut signale un incident, un chiffre à l’écran n’est pas une preuve de conservation. Deuxième réflexe : ne pas envoyer de nouveaux dépôts vers les routes coupées, même si une interface tierce semble encore les proposer. Troisième réflexe : se méfier des comptes qui proposent un « support remboursement » en message privé. Les incidents de ce type attirent immédiatement une seconde industrie, celle du phishing.

Les fonds logés via HOT ou near.com suivent le même calendrier de reprise que les autres actifs des chaînes concernées, selon l’équipe. Cela ne crée pas un traitement privilégié visible dans le communiqué initial. Cela rappelle que l’exposition ne se limite pas aux utilisateurs avancés qui signent eux-mêmes sur BNB Chain. Des portefeuilles grand public agrègent ces routes. Leur silence, ou leur retard de statut, amplifie l’angoisse bien au-delà du forum des analystes.

Conserver les identifiants de transaction, les horodatages et les captures d’écran du solde avant l’incident sera utile si le remboursement exige une preuve. Ce n’est pas glamour. C’est la différence entre une créance documentée et une créance racontée. Personne ne devrait avoir à le faire. Tout le monde devrait le faire dès qu’un protocole coupe ses sorties.

Une affaire de jointure, dans un marché qui adore les raccourcis

Les intents promettent de cacher la complexité. L’incident la ramène au premier plan. L’utilisateur voulait un résultat. Il découvre Omni, un hot wallet, onze statuts rouges et une adresse qui commence par 0x09fd. Ce dévoilement n’est pas un échec de pédagogie seulement. C’est la structure du produit. Plus le chemin est abstrait, plus le jour de l’incident le vocabulaire technique revient d’un coup, et plus le décalage de compréhension nourrit les rumeurs.

Le montant, 3,8 millions, n’est pas un record du secteur. Il est assez grand pour obliger un remboursement crédible, assez petit pour être couvert si la trésorerie existe, assez visible pour croiser la route d’un ETF lancé quarante-huit heures plus tôt. Il arrive surtout au mauvais moment narratif, juste après un blocage médiatisé de 50 millions. Le marché n’attend pas la preuve d’un lien. Il price le doute. C’est injuste au sens judiciaire. C’est cohérent au sens financier.

La suite tient en trois livrables, pas en trois adjectifs. Un rapport qui nomme la fonction fautive sans noyer le lecteur. Un dispositif de remboursement dont on peut suivre un paiement test. Une mise à jour des quatre soldes bitcoin, soit parce qu’ils reviennent, soit parce qu’ils bougent. Tout le reste, les fils indignés comme les théories de revanche, est du bruit autour d’une jointure qui a cédé. La jointure a un nom. Elle s’appelle l’interaction Omni. Tant que ce nom n’est pas traduit en correctif auditable et en soldes restitués, l’histoire n’est pas finie. Elle vient seulement de quitter la une pour entrer dans les carnets d’adresses.