NEAR Intents опубликовал отчет о происшествии, уязвимость на сумму 3,8 миллиона долларов возникла из-за недостатков в уведомлении о депозите

Протокол обмена между цепями NEAR Intents опубликовал отчет о происшествии, в котором 3,8 миллиона долларов США были отнесены к недостатку функции уведомления о депозите. Протокол развернут на публичном расчетном контракте NEAR, который поддерживает внутреннюю бухгалтерию для хранения токенов, а вывод средств осуществляется через кросс-цепной мост. Отчет был опубликован генеральным директором NEAR Intents Алексом Шевченко 16 октября, который сообщил, что злоумышленник вывел 3,8 миллиона долларов до остановки протокола 1 октября и вернул все средства в течение 36 часов после обнаружения, все затронутые пользователи получили полное возмещение.

В отчете говорится, что функция уведомляет сторонние контракты при внесении токенов. Злоумышленник создал контракт, который намеренно вызывал сбой уведомления, что привело к возврату депозита токенов, в то время как NEAR Intents сохранял соответствующий кредитный лимит в бухгалтерии. В 23 неудачных транзакциях по депозитам злоумышленник накопил 3,8 миллиона долларов США без обеспечения, что в отчете названо "призрачными средствами", после чего он вывел реальные токены и перевел их на другие цепи через инфраструктуру Omni. Шевченко заявил, что это уязвимость контракта NEAR Intents, а не инфраструктуры Omni.

Вывод средств происходил с 29 сентября по 1 октября. Расчетный контракт был приостановлен 1 октября и снова открыт, затронутые маршруты постепенно восстанавливались, а депозиты по контракту были восстановлены 2 октября. В отчете говорится, что уязвимость не была обнаружена, потому что мониторинг сравнивал только активы оригинальной цепи с общим балансом токенов на стороне NEAR, не сравнивая общую внутреннюю сумму балансов пользователей с токенами, фактически хранящимися в контракте; команда добавила эту проверку и теперь автоматически приостанавливает контракт в случае несоответствия балансов. Исправление уязвимости, обнаруженной в октябре, было развернуто 2 октября, но другой серьезный отчет о той же функции побудил полностью удалить ее 7 октября, исследователь, связанный с этим, получил вознаграждение в 300 тысяч долларов.