NEAR Intentsは事後報告を発表し、380万ドルの脆弱性は預金通知の欠陥に起因することを明らかにしました。

クロスチェーン交換プロトコル NEAR Intents は、380 万ドルの脆弱性を預金通知機能の欠陥に起因する事後報告を発表しました。このプロトコルは NEAR 上の公開決済契約に展開されており、預け入れトークンの内部帳簿を維持し、引き出しはクロスチェーンブリッジを通じてトークンを転送します。報告は NEAR Intents のゼネラルマネージャーである Alex Shevchenko によって 10 月 16 日に発表され、攻撃者は 10 月 1 日にプロトコルが停止する前に 380 万ドルを引き出し、検出後 36 時間以内に全ての資金を返還し、影響を受けた全てのユーザーが全額補償を受けたと述べています。

報告によると、この機能はトークンが預け入れられる際に第三者契約に通知を行います。攻撃者は通知を故意に失敗させる契約を作成し、トークン契約は預金を返還しましたが、NEAR Intents は対応する帳簿の信用枠を保持し続けました。23 件の失敗した預金取引の中で、攻撃者は 380 万ドルの無支援残高を蓄積し、報告ではこれをゴーストファンドと呼び、その後、実際のトークンを引き出し、Omni インフラストラクチャを通じて他のチェーンに転送しました。Shevchenko は、これは NEAR Intents 契約の脆弱性であり、Omni インフラストラクチャの脆弱性ではないと述べています。

引き出しは 9 月 29 日から 10 月 1 日の間に発生しました。決済契約は 10 月 1 日に一時停止され、再開され、影響を受けたルーティングはその後徐々に復旧し、契約側の預金は 10 月 2 日に復旧しました。報告によると、脆弱性が発見されなかったのは、監視が元のチェーン資産と NEAR 側トークンの総残高を比較するだけで、ユーザーの内部残高の総和と契約が実際に保有しているトークンを比較していなかったためです；チームはこのチェックを追加し、残高が一致しない場合に契約を自動的に一時停止するようにしました。10 月の脆弱性の修正は 10 月 2 日に展開されましたが、同じ機能に関する別の重大な脆弱性の報告により、10 月 7 日に完全に削除され、関連する研究者は 30 万ドルの報酬を受け取りました。