Near Intents Récupère Les 3,8 Millions Dérobés Par Un Hacker

Et si le voleur rendait l’intégralité du butin avant même que les avocats n’aient fini de rédiger la plainte ? C’est précisément ce qui vient de se produire autour de Near Intents. Moins de deux jours après qu’Alex Shevchenko, directeur général du projet, a affirmé publiquement que l’équipe connaissait l’identité de l’attaquant, les 3,8 millions de dollars détournés sont revenus. Le protocole a annoncé la fin de son enquête interne. Une éventuelle procédure menée par les autorités reste, elle, une affaire distincte. Entre la faille technique, le message on-chain et le passage des fonds par une plateforme centralisée, l’épisode mérite d’être relu ligne par ligne.

Les 3,8 Millions Sont Rentrés, L’Enquête Interne S’Arrête

Le dénouement tient en une phrase publiée par Alex Shevchenko : les fonds du piratage, d’un montant de 3,8 millions de dollars, ont été intégralement renvoyés, et l’équipe arrête l’enquête. La formulation est sèche. Elle clôt une séquence qui avait commencé par une interruption de service, puis par un ultimatum de 48 heures. Dans un secteur où les restitutions totales restent l’exception, la vitesse du retournement frappe autant que le montant.

La veille de cette annonce, le dirigeant avait publié des adresses de restitution compatibles avec Bitcoin, les réseaux compatibles EVM dont Ethereum et BNB Chain, ainsi que Solana. Le message ne s’adressait pas à la communauté au sens large. Il visait l’auteur de l’exploit, avec une formule directe : l’équipe disait l’avoir identifié. Le délai laissé pour rendre les actifs était de 48 heures, avant la poursuite d’autres démarches. Shevchenko présentait cette fenêtre comme une dernière occasion de basculer vers une divulgation responsable, c’est-à-dire signaler une faille aux développeurs et passer par un programme de récompense plutôt que d’exploiter le défaut.

Un message joint à une transaction, présenté comme provenant de l’auteur du piratage, a ensuite confirmé la restitution. Le texte, relayé par Shevchenko et repris par Decrypt, tient en une reconnaissance brève : les fonds ont été rendus, et l’auteur admet avoir été dans son tort. Le communiqué remercie aussi l’équipe pour sa cordialité et invite les chercheurs en sécurité à utiliser les programmes de bug bounty. De son côté, le protocole indique vouloir tourner la page, tout en ayant déjà signalé l’incident aux autorités et promis un remboursement intégral des utilisateurs concernés.

Nous avons rendu tous les fonds, nous étions dans notre tort.

Message on-chain attribué à l’auteur de l’exploit, relayé par Alex Shevchenko

Cette phrase change le registre. On n’est plus seulement devant un calcul d’opportunité. On lit une reconnaissance de faute, même si rien ne prouve, à ce stade public, que le signataire soit bien la personne derrière le clavier initial. Dans la finance décentralisée, un message attaché à une transaction peut être authentique, instrumentalisé, ou simplement pratique. Il reste un indice, pas un jugement.

Une chronologie trop courte pour être anodine

Reprenons le fil sans embellir. Le service de swap inter-chaînes est interrompu après la détection d’un défaut. L’attaquant retire environ 3,8 millions de dollars. L’équipe signale l’incident aux autorités et s’engage à rembourser les utilisateurs touchés. Puis vient la publication des adresses de restitution et l’affirmation d’identification. Moins de 48 heures plus tard, les fonds sont de retour. L’enquête interne s’arrête.

Cette compression temporelle est le cœur de l’affaire. Dans la plupart des piratages de protocoles, les premières heures servent à fragmenter les avoirs, à les faire passer par des mélangeurs, des ponts ou des comptes dormants. Ici, une partie du parcours a été suivie par l’enquêteur on-chain ZachXBT jusqu’à KuCoin, avant conversion et transfert vers Bitcoin. Ce passage par une plateforme centralisée n’identifie pas à lui seul l’utilisateur du compte. Il peut toutefois faciliter un travail d’identification, parce qu’un exchange conserve des données que la chaîne, seule, ne montre pas.

Le dirigeant n’a pas publié de dossier, de nom ou de pièce d’identité. Il a publié une conviction et un délai. C’est une stratégie de pression, pas une preuve judiciaire. Elle a fonctionné au sens où l’argent est revenu. Elle ne dit pas si la personne visée a réellement été nommée en privé, si un intermédiaire a servi de relais, ou si la peur d’un gel sur une plateforme a suffi. La distinction compte, parce que la suite éventuelle devant les autorités ne se nourrit pas d’un post, mais de pièces.

Ce que signifie « arrêter l’enquête »

Quand un protocole dit qu’il arrête son enquête, il parle de son propre travail interne. Il ne parle pas d’un classement sans suite prononcé par un parquet, ni d’une immunité. Shevchenko a été clair sur la séparation : la décision de l’équipe et une éventuelle procédure des autorités ne se confondent pas. Autrement dit, rendre l’argent peut apaiser le protocole et les utilisateurs. Cela n’efface pas automatiquement l’infraction, si une juridiction estime qu’il y en a une.

Cette nuance est souvent gommée dans les fils de discussion. Beaucoup de lecteurs traduisent « fonds rendus » par « affaire classée ». Ce n’est pas la même chose. Un projet peut choisir de ne plus consacrer d’ingénieurs et d’analystes au dossier, parce que l’exposition financière directe a disparu. Les autorités, elles, regardent l’intention, le mode opératoire, les comptes utilisés et le droit applicable. Le remboursement intégral promis aux utilisateurs réduit le préjudice économique immédiat. Il ne réécrit pas la chronologie de l’exploit.

Pour les utilisateurs concernés, la conséquence pratique est plus simple. L’engagement de remboursement intégral, ajouté au retour effectif des fonds, diminue le risque que le trou soit comblé par la trésorerie du protocole ou par une dilution future. La restitution ne répare pas la confiance d’un clic. Elle répare le solde.

La faille entre la couche Omni et le contrat principal

Le défaut signalé ne ressemble pas à une clé privée volée dans un coffre. Near Intents a interrompu son service après avoir détecté une faiblesse dans la manière dont sa couche Omni de dépôt et de retrait communiquait avec son contrat principal. Cette interaction a permis à l’attaquant de retirer environ 3,8 millions de dollars. Le détail du code n’a pas été publié dans le communiqué grand public. On sait en revanche où se situait la jointure : entre une couche qui gère les entrées et sorties, et le contrat qui fait autorité sur la logique du service.

Ce type de frontière est un classique des architectures modulaires. Une couche spécialisée simplifie les dépôts. Un contrat principal conserve les règles. Si les deux ne vérifient pas exactement les mêmes hypothèses, un acteur peut faire accepter à l’un ce que l’autre n’aurait pas dû autoriser. Le montant, 3,8 millions, reste limité au regard des volumes du service. Il est assez élevé pour blesser des utilisateurs et assez visible pour forcer un arrêt.

Near Intents permet d’échanger des actifs entre 35 blockchains. L’utilisateur indique le résultat recherché. Des teneurs de marché se disputent ensuite l’exécution. Selon les données du service, plus de 30 milliards de dollars de swaps ont été traités depuis le lancement. Ce chiffre donne l’échelle. Un protocole qui brasse des dizaines de milliards n’est pas un bac à sable. Une faille d’interface, même étroite, devient un sujet de marché, pas seulement un ticket d’ingénierie.

L’arrêt du service après détection est la bonne réaction opérationnelle. Laisser tourner un chemin de retrait défectueux, c’est offrir une deuxième vague. La promesse de remboursement intégral est l’autre moitié du geste. Sans elle, les utilisateurs touchés porteraient seuls un défaut qu’ils n’ont pas écrit. Avec elle, le protocole assume que la confiance commerciale passe par le solde, pas par un fil de publication.

Pourquoi le passage par KuCoin change la donne

ZachXBT a suivi une partie des fonds jusqu’à KuCoin, avant leur conversion et leur transfert vers Bitcoin. Ce détail est souvent cité trop vite. Un dépôt sur une plateforme centralisée n’est pas une carte d’identité publiée sur la chaîne. C’est un point de contact avec un intermédiaire qui, selon son pays d’implantation et ses obligations, peut détenir des informations de compte, des adresses IP, des documents ou des historiques de retrait.

Le traçage public s’arrête souvent à la rampe d’entrée. L’identification, si elle a eu lieu, s’est peut-être jouée derrière cette rampe, par une demande adressée à la plateforme, par un recoupement interne, ou par une erreur de l’attaquant. Shevchenko a affirmé que l’équipe savait à qui elle parlait. Il n’a pas montré le dossier. La prudence impose de traiter cette affirmation comme une déclaration du projet, efficace sur le plan de la pression, pas comme une pièce versée au débat public.

Le transfert ultérieur vers Bitcoin n’efface pas le passage précédent. Bitcoin offre une autre liquidité et une autre culture de conservation. Il ne rend pas invisible un dépôt déjà effectué sur un compte d’exchange. C’est souvent là que les affaires de ce type se dénouent : non pas parce que la chaîne est magique, mais parce qu’un acteur a touché un guichet qui demande un nom.

L’ultimatum de 48 heures et la divulgation responsable

La fenêtre de 48 heures n’est pas un détail de communication. C’est un cadre. Shevchenko l’a présentée comme une dernière chance de basculer vers une procédure de divulgation responsable. Dans l’industrie, cette expression désigne un chemin précis : le chercheur signale le défaut, n’exploite pas au-delà de ce qui est nécessaire pour le prouver, et peut prétendre à une récompense. Exploiter, retirer des millions, puis négocier après coup, ce n’est pas le même geste. Le protocole a malgré tout laissé la porte entrouverte, sans doute parce que récupérer les fonds vite vaut mieux, pour les utilisateurs, qu’un procès long.

Le message attribué à l’attaquant reprend cette grammaire. Il reconnaît le tort, remercie pour la cordialité et renvoie les chercheurs vers les programmes de récompense. On peut y lire une sortie de crise rédigée pour limiter l’escalade. On peut aussi y lire une tentative de requalifier un vol en recherche maladroite. Les deux lectures coexistent tant que les autorités n’ont pas tranché. Le protocole, lui, a choisi de clore son volet interne une fois l’argent revenu.

Les adresses publiées sur plusieurs réseaux n’étaient pas un catalogue marketing. Elles réduisaient les excuses techniques. Un attaquant qui détient du Bitcoin, des actifs EVM ou du Solana avait un chemin de retour explicite. Publier ces adresses, c’est aussi figer une preuve : si les fonds arrivent dessus, le lien entre l’exploit et la restitution devient observable par n’importe quel explorateur.

Le message on-chain, entre aveu et mise en scène

Coller un texte à une transaction est devenu un rite. Poly Network, Euler Finance et d’autres dossiers ont habitué le public à des notes signées depuis une adresse liée au butin. Ici, la note est courte. Elle ne négocie pas un pourcentage. Elle ne demande pas une prime. Elle dit que tout a été rendu et que l’auteur était dans son tort. La brièveté peut être sincère. Elle peut aussi être le minimum syndical pour obtenir que le protocole arrête de parler.

Shevchenko a relayé ce message. Le relais ne vaut pas expertise graphologique. Il indique que l’équipe considère le texte comme provenant du camp de l’exploit. Pour le lecteur, la valeur du message est surtout corroborative : il arrive au moment où les fonds bougent dans le bon sens. Sans le mouvement d’argent, la phrase ne vaudrait rien. Avec le mouvement, elle devient la légende de la transaction.

L’invitation à passer par les bug bounty est le passage le plus stratégique. Elle tente de recadrer l’épisode comme un échec de canal, pas comme un choix délibéré de vol. Les programmes de récompense existent précisément pour éviter ce scénario. Encore faut-il qu’ils soient visibles, dotés et rapides. Un chercheur qui trouve une jointure entre une couche de dépôt et un contrat principal devrait avoir un chemin plus simple qu’un retrait de 3,8 millions. Si ce chemin était obscur, le protocole a une leçon interne à tirer, indépendamment de la morale de l’attaquant.

Bitget, les 50 millions bloqués et la semaine d’avant

L’incident ne tombe pas dans une semaine vide. Deux jours avant l’exploitation, Near Intents avait bloqué une tentative de conversion portant sur plus de 50 millions de dollars rattachés au piratage de Bitget, estimé à 387,5 millions. Bitget et la société d’analyse Elliptic ont relié cette attaque à des acteurs nord-coréens. Le blocage et l’exploit de 3,8 millions sont deux faits distincts. Les juxtaposer sans les confondre est essentiel.

Bloquer une tentative de conversion, c’est refuser de servir de rampe à des fonds déjà marqués. C’est un acte de conformité et de survie réputationnelle. Se faire exploiter soi-même quarante-huit heures plus tard, c’est un défaut de son propre code. Les deux épisodes montrent toutefois la même position inconfortable : un service inter-chaînes se trouve au carrefour des flux propres et des flux sales. Il doit filtrer les seconds sans offrir aux premiers une jointure mal vérifiée.

Le montant bloqué, plus de 50 millions, dépasse largement les 3,8 millions de l’exploit. Il rappelle que Near Intents brasse des ordres assez gros pour attirer à la fois les teneurs de marché et les opérateurs qui cherchent une sortie. La capacité à geler un flux lié à Bitget n’a pas empêché la faille Omni. Les contrôles de provenance et les contrôles d’intégrité du contrat ne protègent pas contre les mêmes risques.

Ce que fait vraiment un service d’intents

Pour comprendre pourquoi une jointure technique peut coûter des millions, il faut rappeler le modèle. L’utilisateur ne construit pas lui-même chaque étape du swap. Il exprime un résultat : tel actif, sur telle chaîne, pour tel montant approximatif. Des teneurs de marché proposent d’exécuter. Le protocole orchestre. Cette promesse d’abstraction est le produit. Elle est aussi la surface d’attaque, parce que plusieurs couches doivent se faire confiance.

Trente-cinq blockchains, ce n’est pas un slogan. Chaque réseau a ses délais, ses formats de signature, ses règles de finalité. Une couche de dépôt et de retrait qui parle à un contrat principal doit traduire ces différences sans perdre une vérification. Si la traduction accepte un état que le contrat n’a pas validé, le retrait peut partir. Le chiffre de plus de 30 milliards de swaps traités depuis le lancement montre que le modèle a trouvé son usage. Il montre aussi que le stock d’opérations réussies ne protège pas contre un cas limite.

Les teneurs de marché, eux, ne sont pas l’attaquant dans le récit public. L’exploit visait la communication entre Omni et le contrat. Il reste utile de rappeler leur rôle, parce que les utilisateurs voient souvent le service comme une boîte noire. Derrière l’interface, des acteurs se concurrencent pour remplir l’intention. La robustesse du produit dépend autant de cette concurrence que de la solidité du contrat qui enregistre le résultat.

Poly Network, Euler, et le club étroit des restitutions

Les restitutions intégrales restent minoritaires, sans être inédites. En 2021, l’auteur du piratage de Poly Network avait rendu l’essentiel des 611 millions de dollars dérobés. En 2023, l’attaquant d’Euler Finance avait également restitué presque tout le butin. Near Intents rejoint cette liste courte, avec un montant plus modeste et un délai plus serré. Le point commun n’est pas la morale abstraite. C’est la combinaison d’un traçage visible et d’une pression qui rend la conservation du butin plus coûteuse que son retour.

Poly Network avait frappé par l’échelle et par le théâtre des messages. Euler avait montré qu’un protocole de prêt pouvait récupérer l’essentiel après négociation. Near Intents ajoute un ingrédient : l’affirmation publique d’identification, suivie d’un retour en moins de deux jours. Le traçage jusqu’à une plateforme centralisée a pu accélérer ce dénouement, sans constituer à lui seul une preuve d’identité. La leçon opérationnelle est la même dans les trois dossiers. L’argent on-chain laisse des traces. L’argent qui touche un guichet en laisse davantage.

Il ne faut pas en déduire que tous les exploits finiront ainsi. La majorité des piratages de la finance décentralisée ne se soldent pas par un retour intégral. Les acteurs qui fragmentent vite, évitent les exchanges et acceptent une décote sur des marchés gris conservent souvent une partie du butin. Le cas présent est instructif justement parce qu’il est atypique. Il dit ce qui peut faire céder, pas ce qui se produit en moyenne.

Identifier sans publier le nom

La formule « nous vous avons identifié » est un outil à double tranchant. Elle peut pousser au retour. Elle peut aussi être contestée si le dossier est mince. Shevchenko a choisi de ne pas exposer l’identité au public. C’est cohérent avec une stratégie de sortie : nommer quelqu’un sans jugement expose le projet à un contentieux en diffamation, et peut faire fuir des fonds encore mobiles. Parler à la personne, ou à son entourage opérationnel, suffit parfois.

Pour le lecteur extérieur, il faut tenir deux idées ensemble. Premièrement, l’affirmation a été suivie d’un retour intégral, ce qui lui donne un poids empirique. Deuxièmement, le public n’a pas vu les éléments. Un enquêteur on-chain, une plateforme, une adresse de dépôt : ces briques peuvent former un faisceau. Elles ne remplacent pas une procédure. Le protocole a d’ailleurs séparé sa décision de clôture de ce que les autorités pourraient encore faire.

Cette retenue est aussi une forme de gestion de crise. Publier un nom avant restitution aurait pu braquer l’interlocuteur. Le taire après restitution laisse planer une incertitude utile si d’autres fonds apparaissaient. En l’état, le projet dit vouloir tourner la page. La page judiciaire, elle, n’appartient pas au projet.

Ce que les utilisateurs doivent retenir concrètement

Un swap inter-chaînes n’est pas un virement interne. Entre l’intention affichée et l’actif reçu, plusieurs contrats et plusieurs réseaux interviennent. Le cas Near Intents montre qu’une faiblesse peut se nicher dans la conversation entre deux composants, pas seulement dans une signature mal gardée. L’utilisateur final ne lit pas cette conversation. Il en subit le résultat si le protocole ne rembourse pas.

Ici, l’engagement de remboursement intégral et le retour effectif des fonds limitent le dégât. Cela ne transforme pas le service en infrastructure sans risque. Les 30 milliards de swaps historiques mesurent l’usage, pas l’invulnérabilité. Un arrêt de service, même bref, rappelle que la liquidité affichée dépend d’un système que l’équipe peut choisir de couper.

Quelques réflexes restent valables, sans transformer cet article en mode d’emploi. Vérifier que le service est bien celui du projet, ne pas traiter un pont comme un coffre de long terme, et suivre les canaux officiels quand un protocole annonce une pause. Aucun de ces réflexes n’aurait empêché l’exploit. Ils réduisent d’autres familles de pertes, notamment l’usurpation de sites au moment où tout le monde cherche une adresse de retrait.

Le rôle des teneurs de marché dans la confiance

Le modèle d’intents repose sur une enchère d’exécution. L’utilisateur demande un résultat. Plusieurs acteurs proposent de le livrer. Cette concurrence est censée améliorer le prix. Elle suppose que le cadre qui encaisse le dépôt et libère le retrait soit sain. Si ce cadre cède, la qualité des prix n’a plus d’importance. Les 3,8 millions ne sont pas une mauvaise cotation. Ils sont un retrait qui n’aurait pas dû être possible.

Les teneurs de marché ont intérêt à un service qui ne s’arrête pas. Une interruption coupe leur flux. Une faille publique les force à réévaluer le risque de contrepartie technique, même s’ils ne sont pas partie au bug. Après une restitution, la question pour eux n’est pas seulement « l’argent est-il revenu ? ». Elle est « la jointure a-t-elle été refermée, et qui l’a revue ? ». Le communiqué public ne détaille pas l’audit de correctif. C’est le prochain point que les utilisateurs exigeants regarderont.

Un protocole qui traite des dizaines de milliards a les moyens d’expliquer, sans livrer une arme, comment la vérification entre Omni et le contrat principal a été renforcée. Le silence technique prolongé serait plus coûteux que le montant déjà restitué. La confiance, dans ce métier, se reconstruit par des diffs et des revues, pas par une seule phrase de clôture.

Autorités, plainte et séparation des voies

L’équipe avait signalé l’incident aux autorités. Elle promettait aussi de rembourser les utilisateurs. La restitution réduit l’exposition financière directe du protocole. Elle ne retire pas le signalement. Shevchenko a pris soin de distinguer la fin de l’enquête interne d’une procédure qui resterait du ressort des autorités. Cette phrase est juridiquement saine. Elle évite de laisser croire qu’un projet privé peut accorder une absolution.

Selon les pays, exploiter un contrat pour retirer des fonds peut relever de qualifications différentes : accès frauduleux, escroquerie, abus de confiance, blanchiment si les fonds sont ensuite convertis. Le passage par une plateforme et la conversion vers Bitcoin peuvent intéresser des unités financières, même après retour. Le message d’aveu, s’il est bien attribuable, peut peser. Il peut aussi être minimisé par une défense qui plaiderait la recherche de faille. Rien de tout cela n’est tranché dans l’annonce du projet.

Pour les utilisateurs, la voie qui compte à court terme est le remboursement. Pour le secteur, la voie qui compte à moyen terme est de savoir si ce type d’ultimatum devient une norme. Un protocole qui dit « nous savons qui vous êtes » sans dossier solide prend un risque. Un protocole qui le dit avec un dossier, et qui récupère les fonds, crée un précédent que d’autres équipes voudront copier.

Pourquoi les restitutions restent l’exception

Rendre 3,8 millions n’est rationnel que si le coût de les garder dépasse le gain. Ce coût peut être une identification réelle, un gel imminent, une impossibilité de sortir les fonds sans décote massive, ou une simple peur. Dans les dossiers où l’attaquant reste anonyme, fragmenté et patient, ce calcul penche souvent vers la conservation. Les statistiques publiques des piratages de l’année le rappellent : les retours intégraux font la une précisément parce qu’ils sortent de la série.

Le cas Near Intents cumule plusieurs facteurs favorables au retour. Le montant est élevé mais pas hors de portée d’un gel. Une partie du flux a touché KuCoin. Le projet a parlé d’identification. Le délai était court, ce qui empêche de s’installer dans une stratégie d’attente. Le message final reprend le vocabulaire de la faute. Aucun de ces éléments, isolé, ne garantit une restitution. Ensemble, ils racontent une pression qui a suffi.

Il serait naïf d’en faire une doctrine. Un acteur étatique ou un groupe habitué aux ransomwares ne réagit pas comme un individu qui vient de découvrir une jointure et qui panique en voyant son dépôt sur un exchange. Le blocage des fonds Bitget, attribué par les analyses citées à des acteurs nord-coréens, montre l’autre face : face à ce type d’opérateur, le protocole filtre, il ne négocie pas un aveu en 48 heures.

La cordialité comme tactique

Le message attribué à l’attaquant remercie l’équipe pour sa cordialité. Le mot surprend dans un dossier de détournement. Il éclaire pourtant une tactique connue. Les équipes qui insultent, qui promettent des poursuites immédiates et qui ferment tout canal obtiennent parfois un retour. Elles obtiennent aussi, parfois, un silence et des fonds déjà dispersés. Shevchenko a mélangé la fermeté de l’identification et une porte de sortie vers la divulgation responsable. Le remerciement suggère que ce mélange a été perçu comme une ouverture, pas seulement comme une menace.

La cordialité n’est pas une faiblesse juridique. Elle peut être le ton qui permet à un intermédiaire, un conseil ou l’auteur lui-même de rendre les fonds sans perdre totalement la face. Dans un milieu où les pseudonymes comptent, la face n’est pas un détail. Le protocole, de son côté, récupère l’actif et peut dire qu’il a tenu sa promesse de remboursement. Les deux parties sortent avec un récit tenable, ce qui n’équivaut pas à une équivalence morale.

Il reste un risque de précédent inversé. Si chaque exploitant pense qu’un merci et un retour effacent l’affaire, la divulgation responsable se vide de son sens. Le bon signal, pour les chercheurs honnêtes, est un bug bounty visible avant l’exploit, pas un remerciement après. Le protocole a intérêt à rendre ce canal plus évident que la jointure qui vient de céder.

Ce que le montant dit du risque résiduel

3,8 millions sur un service qui affiche plus de 30 milliards de swaps cumulés, c’est une fraction. Ce n’est pas un non-événement. Pour les utilisateurs dont les fonds étaient dans le chemin affecté, la fraction globale ne paie pas le loyer. Le protocole a eu la possibilité de circonscrire, parce qu’il a détecté et coupé. Un défaut resté ouvert plus longtemps aurait pu changer l’ordre de grandeur.

La comparaison avec les 50 millions bloqués la même semaine est parlante. Near Intents a été capable d’arrêter un flux extérieur plus gros que la faille interne. Cette asymétrie est plutôt rassurante sur le volet conformité. Elle est moins rassurante sur le volet ingénierie : le filtre anti-fonds volés a tenu, la conversation entre Omni et le contrat principal non. Les deux chantiers ne se substituent pas.

Après restitution, le risque résiduel n’est plus le trou de 3,8 millions. C’est la question de savoir si une jointure du même type existe ailleurs dans les 35 chaînes supportées. Une architecture qui répète un schéma de dépôt et de retrait sur de nombreux réseaux peut répéter un défaut. La revue post-incident vaut plus que le communiqué de clôture.

Lire l’affaire sans roman

Il est tentant d’écrire une histoire de justicier et de repentir. Les faits disponibles sont plus étroits. Un défaut d’interaction a permis un retrait. Une partie des fonds a été suivie jusqu’à une plateforme, puis vers Bitcoin. Le dirigeant a dit que l’auteur était identifié et a laissé 48 heures. Les fonds sont revenus. Un message a reconnu le tort. L’enquête interne s’arrête. Les autorités restent un canal séparé. Le même projet avait bloqué, deux jours plus tôt, une conversion liée à Bitget.

Tout le reste est interprétation. On peut juger que la peur de l’identification a fait céder. On peut juger que le passage par KuCoin a rendu la sortie trop risquée. On peut juger que l’auteur cherchait dès le début une porte de sortie honorable. Ces hypothèses ne sont pas exclusives. Elles ne sont pas non plus démontrées par le seul post de clôture.

Le travail utile, pour qui suit la finance décentralisée, est de ranger l’épisode au bon endroit. Ce n’est pas la fin des hacks. C’est un rappel que la pression, le traçage et un guichet centralisé peuvent encore faire revenir un butin, surtout quand le montant n’a pas eu le temps de se dissoudre. C’est aussi un rappel que la couche qui parle au contrat principal mérite autant d’attention que le contrat lui-même.

Une grille de lecture pour les prochains incidents

Les prochains exploits de ponts ou de services d’intents seront commentés avec les mêmes réflexes. Le montant. Le composant touché. Le délai avant arrêt. La présence ou non d’un passage par exchange. L’existence d’un ultimatum. Le texte on-chain. La distinction entre enquête interne et autorités. Cette grille évite de traiter chaque fil comme une série télévisée.

Appliquée à Near Intents, elle donne un dossier net. Montant : 3,8 millions, restitués. Composant : interaction Omni et contrat principal. Délai de retour : moins de deux jours après l’affirmation d’identification, dans une fenêtre de 48 heures. Passage exchange : une partie suivie jusqu’à KuCoin par ZachXBT, puis Bitcoin. Message : reconnaissance de tort et renvoi vers les primes de bugs. Suite : enquête interne close, voie judiciaire distincte. Contexte : blocage récent de plus de 50 millions liés à Bitget.

Cette fiche tient en un écran. Elle suffit à ne pas confondre l’affaire avec le piratage Bitget, ni avec une perte sèche d’utilisateurs. Elle suffit aussi à ne pas conclure que le risque inter-chaînes a disparu mardi matin.

Le précédent pour les équipes de sécurité

Les équipes qui surveillent les protocoles retiendront trois gestes. Couper le service dès la détection. Publier des adresses de retour multi-réseaux pour supprimer l’ambiguïté. Dire, si le dossier le permet, que l’auteur est identifié, sans forcément livrer le nom au public. Le troisième geste est le plus délicat. Il ne fonctionne que si la personne visée croit que l’affirmation est vraie. Une menace à vide use le procédé pour tout le secteur.

Le renvoi vers les bug bounty, dans le message de restitution, devrait pousser Near Intents à montrer le chemin officiel avec la même visibilité que les adresses de retour. Un chercheur qui tombe sur une incohérence entre couche de dépôt et contrat principal a besoin d’un formulaire, d’un délai de réponse et d’une fourchette de prime. Sans cela, le prochain découvreur fera le calcul inverse.

Les analystes on-chain, de leur côté, ont encore prouvé leur utilité en amont de toute plainte. Le suivi jusqu’à KuCoin n’a pas tout résolu. Il a réduit l’espace. Dans un dossier de 3,8 millions, réduire l’espace de quelques heures peut valoir plus qu’un rapport de cinquante pages publié trop tard.

Impact sur l’image d’un carrefour à 35 chaînes

Un service présent sur 35 blockchains vit de sa réputation de tuyau fiable. Une interruption se voit. Une restitution intégrale se voit aussi. Le solde d’image dépendra de la suite technique, pas du seul retour des fonds. Les teneurs de marché et les intégrateurs demanderont si la couche Omni a été réécrite, revue, ou simplement patchée. Les utilisateurs demanderont si leurs swaps en cours ont été honorés et si le remboursement promis est déjà sur leurs adresses.

Le choix de tourner la page est compréhensible pour une équipe qui veut relancer. Il ne dispense pas d’un compte rendu sobre. Les projets qui publient, après coup, la nature exacte du défaut corrigé et les tests ajoutés récupèrent plus vite la confiance des intégrateurs. Ceux qui se contentent de l’annonce de restitution laissent planer l’idée qu’une autre jointure attend.

Le chiffre de 30 milliards de swaps est un actif commercial. Il devient un argument adverse si le public retient seulement qu’un gros volume n’a pas empêché un retrait indu. La parade n’est pas de moins parler du volume. Elle est de montrer que le volume s’accompagne d’une revue à la hauteur des 35 réseaux connectés.

Ce que cette affaire ne prouve pas

Elle ne prouve pas que tous les hackers rendent l’argent quand on les tutoie sur X. Elle ne prouve pas que KuCoin a transmis une identité, ni même qu’une demande formelle a été faite. Elle ne prouve pas que l’auteur du message on-chain est la même personne que l’exploitant initial. Elle ne prouve pas que les acteurs associés au dossier Bitget ont un lien avec les 3,8 millions. Elle ne prouve pas que la finance décentralisée est devenue sûre parce qu’un butin est revenu.

Elle prouve, en revanche, qu’une équipe peut encore récupérer l’intégralité d’un détournement de cette taille en moins de deux jours, lorsqu’elle combine arrêt du service, adresses de retour, pression d’identification et suivi on-chain. Elle prouve aussi qu’une faille d’interface, moins spectaculaire qu’une clé compromise, suffit à ouvrir un retrait. Ces deux preuves suffisent à justifier l’attention.

Le reste appartient au temps. Si les autorités donnent suite, le récit gagnera des pièces. Si le protocole publie un correctif détaillé, le récit gagnera une cause technique. Si rien ne vient, l’épisode restera une restitution rapide, utile pour les utilisateurs, incomplète pour qui veut comprendre le code.

Une semaine qui concentre deux visages du risque

En quelques jours, Near Intents a été le filtre et la victime. Filtre, lorsqu’il bloque plus de 50 millions rattachés à un piratage estimé à 387,5 millions. Victime, lorsqu’une faiblesse interne laisse sortir 3,8 millions. Peu de services illustrent aussi clairement les deux métiers imposés aux carrefours crypto : ne pas blanchir le butin des autres, et ne pas créer le sien.

Le premier métier se joue avec des listes, des scores et des gels. Le second se joue avec des revues de code et des hypothèses d’état partagées entre composants. Réussir le premier et rater le second, même brièvement, montre que les équipes conformité et les équipes protocole ne couvrent pas le même terrain. Une semaine comme celle-ci devrait forcer les deux tables à se parler, pas seulement à publier tour à tour.

Pour le lecteur, la coïncidence de calendrier est une aubaine pédagogique. Elle empêche de réduire Near Intents à « le protocole qui s’est fait hacker » ou à « le protocole qui bloque les fonds nord-coréens ». Les deux phrases sont partielles. L’actualité réelle est celle d’un carrefour sous contrainte des deux côtés, qui a récupéré son propre trou et maintenu un blocage sur un flux extérieur.

Le ton du dirigeant et la volonté de clore

Alex Shevchenko a affiché, après le retour des fonds, l’envie de tourner la page. Ce ton tranche avec l’ultimatum de la veille. Il est cohérent si l’objectif principal était le remboursement, pas la démonstration de force. Une équipe qui continue à commenter après restitution nourrit la spéculation et peut compliquer une voie judiciaire. Une équipe qui se tait trop tôt laisse les utilisateurs sans mode d’emploi pour la reprise du service.

Le bon équilibre tient en quelques messages factuels. Les fonds sont là. Les utilisateurs touchés seront remboursés intégralement, comme promis. Le service reprend quand la jointure est corrigée. L’enquête interne s’arrête. Les autorités suivent leur propre calendrier. Tout ajout de roman affaiblit ce socle. Le projet semble avoir choisi le socle. Reste à le compléter par le calendrier de reprise, que l’annonce de clôture ne détaille pas.

Les utilisateurs qui avaient un swap en cours voudront savoir si leur intention a été annulée, exécutée ou gelée. Ce point opérationnel pèse plus, pour eux, que l’identité de l’attaquant. Un protocole qui tourne la page sans mode d’emploi de reprise tourne la page pour lui, pas pour ses clients.

Comparer les montants sans les additionner

3,8 millions restitués. Plus de 50 millions bloqués. 387,5 millions estimés pour Bitget. 611 millions rendus en grande partie chez Poly Network. Presque tout le butin chez Euler. Ces chiffres ne forment pas une série statistique. Ils forment un paysage. Dans ce paysage, Near Intents occupe une case précise : restitution totale, montant intermédiaire, délai très court, cause technique localisée à une interface.

Additionner le blocage Bitget et l’exploit interne serait une erreur de lecture. L’un est un flux refusé. L’autre est un flux sorti puis revenu. Le premier protège le protocole contre une accusation de rampe de sortie. Le second l’expose à une accusation de défaut propre. Les tenir séparés, c’est respecter les faits publiés par le projet, par Bitget et par Elliptic.

La seule addition légitime est qualitative. La même infrastructure a été, en quelques jours, un point de contrôle et un point de fuite. C’est la définition d’un carrefour. Ce n’est pas un jugement définitif sur sa qualité.

Ce que les programmes de prime doivent absorber

Le message de restitution invite les chercheurs à utiliser les programmes de récompense. L’invitation sonne juste seulement si le programme couvre le type de défaut réellement exploité. Une prime centrée sur les signatures et les débordements classiques rate une incohérence de couche. Les architectures d’intents ont besoin de primes qui récompensent les écarts entre composants, pas seulement les bugs intra-contrat.

Une fourchette publique, un délai de triage et une règle claire sur le test en production éviteraient le gris. Tester un retrait sur fonds réels n’est pas un signalement. Le protocole a proposé, après coup, de requalifier la séquence. Mieux vaut que la règle existe avant. Les 3,8 millions sont une mesure du coût d’un canal de signalement moins visible que la faille.

Rien n’indique, dans les éléments publics, que l’auteur ait tenté un signalement préalable. L’aveu de tort va plutôt dans l’autre sens. L’invitation aux chercheurs n’en reste pas moins le bon message pour la suite, à condition qu’elle soit suivie d’un programme lisible.

La place de Bitcoin dans la sortie

Après KuCoin, une partie des fonds a été convertie et transférée vers Bitcoin. Ce choix est classique. Bitcoin concentre la liquidité de sortie et une culture de conservation personnelle. Il ne supprime pas l’historique du dépôt précédent. Dans ce dossier, le mouvement vers Bitcoin n’a pas empêché le retour. Soit les fonds n’avaient pas encore quitté toute emprise identifiable, soit la pression a atteint l’auteur avant la dispersion finale.

Les adresses de restitution publiées incluaient d’ailleurs Bitcoin. Le projet a anticipé que le butin pouvait se trouver sous cette forme. Prévoir le réseau de retour, c’est éviter le prétexte « je ne peux pas renvoyer sur votre chaîne ». Le détail est technique. Il a probablement compté dans la rapidité du dénouement.

Pour les analystes, la leçon est de ne pas abandonner un dossier au moment de la conversion. Le saut vers Bitcoin est une étape, pas une fin. Couplé à un dépôt exchange déjà observé, il laisse encore des coutures.

Utilisateurs remboursés, protocole soulagé, dossier ouvert

Trois issues coexistent. Les utilisateurs concernés doivent être remboursés intégralement, engagement pris dès le signalement et facilité par le retour des fonds. Le protocole réduit son exposition directe et peut relancer le service une fois la faille close. Le dossier, au sens des autorités, n’est pas déclaré terminé par l’équipe. Cette troisième issue est la plus facile à oublier, parce qu’elle ne produit pas de transaction visible.

Si une procédure avance, elle pourra croiser le message on-chain, les adresses de retour et le parcours jusqu’à la plateforme. Si elle n’avance pas, l’affaire restera un exemple de résolution privée. Les deux scénarios sont compatibles avec l’annonce de Shevchenko. Il a fermé son enquête. Il n’a pas fermé celle des autres.

C’est peut-être la phrase la plus utile de l’épisode. Dans la finance décentralisée, les équipes récupèrent des fonds. Elles ne rendent pas la justice. Confondre les deux rôles produit de mauvaises attentes, des ultimatums trop bruyants et des clôtures trop propres.

Pourquoi l’affaire parle au-delà de Near Intents

Chaque service qui abstrait le swap multi-chaînes hérite de la même tension. Plus l’interface est simple, plus les couches cachées sont nombreuses. Near Intents n’est pas le premier à découvrir qu’une couche de dépôt peut diverger du contrat qui fait foi. Il est l’un des premiers, cette saison, à récupérer l’intégralité aussi vite après avoir dit qu’il savait à qui il parlait.

Les intégrateurs qui routent des ordres vers ce type de service vont relire leurs clauses. Un arrêt de 48 heures, un trou de 3,8 millions puis un retour : le scénario est gérable s’il est contractuellement prévu. Il est brutal s’il ne l’est pas. Le volume cumulé de 30 milliards ne remplace pas une clause sur l’interruption et le remboursement.

Les chercheurs, eux, ont un exemple frais de défaut d’interface. Les prochains rapports de prime citeront sans doute la jointure Omni, non pas pour copier l’exploit, mais pour chercher des écarts analogues. C’est l’effet secondaire sain d’une affaire rendue publique. Le code des autres y gagne, si les équipes lisent au-delà du montant.

Une lecture froide du « nous étions dans notre tort »

La phrase est forte parce qu’elle est rare. Les auteurs d’exploits parlent plus souvent de « sauvetage », de « test » ou de « fonds en garde ». Ici, le texte attribué reconnaît le tort. Il ne détaille pas le mobile. Il ne chiffre pas une prime demandée. Il accompagne un retour intégral. Sur le plan des faits observables, c’est suffisant pour dire que la restitution n’a pas été partielle ni conditionnelle dans l’annonce.

Sur le plan de l’intention, la phrase ne prouve pas le repentir. Elle prouve qu’à l’instant de la transaction, l’émetteur a choisi ce vocabulaire. Shevchenko l’a repris. Decrypt l’a rapporté. Le public peut s’en servir comme marqueur de clôture, pas comme pièce psychologique. L’enquête interne s’arrête sur ce marqueur. C’est un choix du projet, assumé.

Garder cette froideur évite deux excès. L’excès du pardon automatique. L’excès du procès public sans dossier. Entre les deux, il reste un fait : l’argent est revenu, et le protocole le dit intégralement.

Reprise du service : les questions qui restent

L’annonce de fin d’enquête ne dit pas à quelle heure les swaps reprennent. Elle ne publie pas le correctif. Elle ne liste pas les chaînes encore suspendues. Ces absences sont normales dans un message de crise court. Elles deviennent un problème si elles durent. Un carrefour à 35 blockchains ne se rallume pas d’un interrupteur unique sans vérification.

Les utilisateurs avisés attendront trois signes. Un correctif décrit dans ses effets, sinon dans son code sensible. Une reprise progressive plutôt qu’un grand soir. Une confirmation que les remboursements promis sont exécutés, pas seulement annoncés. Le retour des 3,8 millions est le premier signe. Il n’est pas les trois.

Tant que ces signes manquent, la page tournée par le dirigeant reste une page interne. Le marché, lui, lit la disponibilité du service. Un tuyau coupé ne redevient un tuyau que lorsqu’il coule à nouveau, sans la jointure qui a cédé.

Mémoire courte, traces longues

Les affaires de restitution s’effacent vite des fils, justement parce qu’elles finissent bien. Poly Network et Euler sont cités quand un nouveau retour survient, puis rangés. Near Intents risque le même traitement. Ce serait dommage. Le dossier est un condensé utile : interface défaillante, suivi jusqu’à un exchange, ultimatum de 48 heures, aveu on-chain, clôture interne, voie judiciaire séparée, et en toile de fond un blocage de fonds liés à un autre piratage.

Les traces, elles, restent. Adresses de retour, transactions de restitution, message joint, posts du dirigeant, suivi public d’une partie des fonds. Quiconque voudra réouvrir le dossier dans six mois aura de quoi le faire sans dépendre de la mémoire des réseaux sociaux. C’est l’avantage d’un incident qui s’est dénoué en partie sur la chaîne.

La mémoire courte du public n’efface pas ces traces. Elle explique seulement pourquoi le prochain exploit paraîtra, à tort, sans précédent. Les précédents sont là. Ils disent que le retour intégral est possible. Ils disent aussi qu’il reste minoritaire, et qu’il ne remplace pas une jointure correctement vérifiée.

Au total, Near Intents sort de la séquence avec les 3,8 millions de retour, une enquête interne qu’il choisit de fermer, et une réputation à reconstruire sur la solidité de sa couche Omni. L’auteur de l’exploit sort avec un aveu public de tort et sans le butin. Les autorités, si elles s’en saisissent, sortiront avec un dossier plus simple que si les fonds avaient disparu. Les utilisateurs sortent avec une promesse de remboursement intégral devenue plus crédible. Chacun n’a pas gagné la même chose. Personne, dans les faits publiés, n’a perdu les 3,8 millions de façon définitive. C’est déjà, dans ce secteur, une issue que l’on ne doit pas présenter comme banale.