NEAR Intents 發布事後報告，380 萬美元漏洞源於存款通知缺陷

ChainCatcher 消息，跨鏈兌換協議 NEAR Intents 發布事後報告，將 380 萬美元漏洞歸因於存款通知功能缺陷。該協議部署在 NEAR 上的公開結算合約維護存入代幣的內部帳本，提款則通過跨鏈橋將代幣轉出。報告由 NEAR Intents 總經理 Alex Shevchenko 於 10 月 16 日發布，稱攻擊者在 10 月 1 日協議關停前提取了 380 萬美元，並在檢測後 36 小時內歸還全部資金，所有受影響用戶已獲全額補償。

報告顯示，該功能會在代幣存入時通知第三方合約。攻擊者創建了一個故意讓通知失敗的合約，使代幣合約退還存款，而 NEAR Intents 仍保留對應的帳本信用額度。在 23 筆失敗存款交易中，攻擊者累積了 380 萬美元無支撐餘額，報告稱之為 ghost funds，隨後據此提取真實代幣，並通過 Omni 基礎設施轉移至其他鏈。Shevchenko 表示，這是 NEAR Intents 合約的漏洞，而非 Omni 基礎設施的漏洞。

提款發生在 9 月 29 日至 10 月 1 日。結算合約於 10 月 1 日暫停並重新開放，受影響路由隨後逐步恢復，合約側存款於 10 月 2 日恢復。報告稱，漏洞未被發現是因為監控僅比較原始鏈資產與 NEAR 側代幣總餘額，未比較用戶內部餘額總和與合約實際持有的代幣；團隊已補充該檢查，並在餘額不一致時自動暫停合約。10 月漏洞的修復於 10 月 2 日部署，但同一功能另一起嚴重漏洞報告促使其於 10 月 7 日被完全移除，相關研究員獲得 30 萬美元獎勵。