NEAR Intents опубликовал отчет о происшествии, уязвимость на сумму 3,8 миллиона долларов возникла из-за недостатков в уведомлении о депозите
Протокол обмена между цепями NEAR Intents опубликовал отчет о происшествии, в котором 3,8 миллиона долларов США были отнесены к недостатку функции уведомления о депозите. Протокол развернут на публичном расчетном контракте NEAR, который поддерживает внутреннюю бухгалтерию для хранения токенов, а вывод средств осуществляется через кросс-цепной мост. Отчет был опубликован генеральным директором NEAR Intents Алексом Шевченко 16 октября, который сообщил, что злоумышленник вывел 3,8 миллиона долларов до остановки протокола 1 октября и вернул все средства в течение 36 часов после обнаружения, все затронутые пользователи получили полное возмещение.В отчете говорится, что функция уведомляет сторонние контракты при внесении токенов. Злоумышленник создал контракт, который намеренно вызывал сбой уведомления, что привело к возврату депозита токенов, в то время как NEAR Intents сохранял соответствующий кредитный лимит в бухгалтерии. В 23 неудачных транзакциях по депозитам злоумышленник накопил 3,8 миллиона долларов США без обеспечения, что в отчете названо "призрачными средствами", после чего он вывел реальные токены и перевел их на другие цепи через инфраструктуру Omni. Шевченко заявил, что это уязвимость контракта NEAR Intents, а не инфраструктуры Omni.Вывод средств происходил с 29 сентября по 1 октября. Расчетный контракт был приостановлен 1 октября и снова открыт, затронутые маршруты постепенно восстанавливались, а депозиты по контракту были восстановлены 2 октября. В отчете говорится, что уязвимость не была обнаружена, потому что мониторинг сравнивал только активы оригинальной цепи с общим балансом токенов на стороне NEAR, не сравнивая общую внутреннюю сумму балансов пользователей с токенами, фактически хранящимися в контракте; команда добавила эту проверку и теперь автоматически приостанавливает контракт в случае несоответствия балансов. Исправление уязвимости, обнаруженной в октябре, было развернуто 2 октября, но другой серьезный отчет о той же функции побудил полностью удалить ее 7 октября, исследователь, связанный с этим, получил вознаграждение в 300 тысяч долларов.
