NEAR Intents a annoncé avoir récupéré la totalité des 3,8 millions de dollars volés lors d'une faille de sécurité survenue jeudi, après que l'attaquant a été identifié et a disposé de 48 heures pour restituer les fonds.

L'incident s'est déroulé sur environ deux jours : les services ont été suspendus jeudi après la détection du bug, l'attaquant a été identifié et averti vendredi, et les fonds ont été intégralement restitués plus tard dans la même journée.

Comme rapporté par Cointelegraph vendredi, le protocole avait identifié l'auteur de la faille et lancé un ultimatum de 48 heures pour le retour des fonds dans le cadre d'une « divulgation responsable » — une approche qui donne à l'attaquant identifié un délai fixe pour restituer les fonds et divulguer la vulnérabilité exploitée.

« Les fonds du piratage de 3,8 M$ de NEAR Intents ont été intégralement restitués », a écrit sur X Alex Shevchenko, directeur général de NEAR Intents. « Nous mettons fin à l'enquête. Veuillez utiliser les bug bounties au lieu de perturber les services. »

Le message pointait vers les programmes de bug bounty — des offres permanentes rémunérant les chercheurs en sécurité pour la divulgation responsable des failles — comme le canal que l'équipe souhaite voir utiliser par les attaquants potentiels.

Ce qui s'est passé

NEAR Intents a suspendu ses services après avoir détecté ce qu'elle a décrit comme un « bug dans l'interaction entre l'infrastructure de dépôt et de retrait Omni et le contrat intelligent de NEAR Intents ».

Cette interaction défectueuse se situe au cœur du fonctionnement du protocole : NEAR Intents est un protocole cross-chain d'intents qui permet aux utilisateurs d'échanger des actifs entre différentes blockchains, de sorte que le chemin de dépôt et de retrait reliant son infrastructure à ses contrats intelligents est central pour le transfert des fonds des utilisateurs.

L'enquête préliminaire de NEAR a déterminé que 3,8 millions de dollars de fonds utilisateurs avaient été volés, et l'équipe s'est engagée à indemniser intégralement les utilisateurs concernés.

Avant la restitution des fonds, l'enquêteur blockchain ZachXBT avait signalé que les actifs volés avaient été transférés vers la plateforme KuCoin et convertis en Bitcoin. Malgré cela, la totalité du montant est revenue dans le délai de l'ultimatum, permettant aux utilisateurs concernés d'être entièrement indemnisés.

À lire aussi : NEAR Intents affirme avoir identifié le pirate et lance un ultimatum de 48 heures

L'équipe a désormais clôturé son enquête après la récupération complète des fonds des utilisateurs. Ce chapitre étant clos, de plus amples détails de la part de NEAR Intents sur le bug sous-jacent et d'éventuelles mises à jour du programme de bounty montreraient comment le protocole donne suite à l'appel de Shevchenko.