NEAR Intents가 사후 보고서를 발표했으며, 380만 달러의 취약점은 예치 통지 결함에서 발생했습니다

크로스 체인 교환 프로토콜 NEAR Intents가 380만 달러의 취약점을 예치 통지 기능 결함으로 귀속시키는 사후 보고서를 발표했습니다. 이 프로토콜은 NEAR에 배포된 공개 결제 계약에서 예치된 토큰의 내부 장부를 유지하며, 출금은 크로스 체인 브리지를 통해 토큰을 전송합니다. 보고서는 NEAR Intents의 총괄 매니저 Alex Shevchenko가 10월 16일 발표했으며, 공격자가 10월 1일 프로토콜이 중단되기 전에 380만 달러를 인출하고, 탐지 후 36시간 이내에 모든 자금을 반환했으며, 모든 영향을 받은 사용자에게 전액 보상이 이루어졌다고 밝혔습니다.

보고서에 따르면, 이 기능은 토큰이 예치될 때 제3자 계약에 통지를 합니다. 공격자는 의도적으로 통지가 실패하도록 하는 계약을 생성하여 토큰 계약이 예치를 반환하게 했고, NEAR Intents는 여전히 해당 장부 신용 한도를 보유하고 있었습니다. 23건의 실패한 예치 거래에서 공격자는 380만 달러의 무지지 잔액을 누적하였으며, 보고서는 이를 유령 자금(ghost funds)이라고 명명하고, 이를 바탕으로 실제 토큰을 인출하여 Omni 인프라를 통해 다른 체인으로 전송했습니다. Shevchenko는 이것이 NEAR Intents 계약의 취약점이지 Omni 인프라의 취약점이 아니라고 밝혔습니다.

출금은 9월 29일부터 10월 1일 사이에 발생했습니다. 결제 계약은 10월 1일 중단되었다가 재개되었으며, 영향을 받은 라우팅은 이후 점진적으로 복구되었고, 계약 측 예치는 10월 2일에 복구되었습니다. 보고서는 취약점이 발견되지 않은 이유는 모니터링이 원래 체인 자산과 NEAR 측 토큰 총 잔액만 비교하고, 사용자 내부 잔액 총합과 계약이 실제로 보유한 토큰을 비교하지 않았기 때문이라고 설명했습니다; 팀은 해당 검사를 보완하였고, 잔액 불일치 시 자동으로 계약을 중단하도록 하였습니다. 10월의 취약점 수정은 10월 2일에 배포되었지만, 동일한 기능의 또 다른 심각한 취약점 보고로 인해 10월 7일에 완전히 제거되었으며, 관련 연구원은 30만 달러의 보상을 받았습니다.