NEAR Intents 发布事后报告，380 万美元漏洞源于存款通知缺陷

ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。该协议部署在 NEAR 上的公开结算合约维护存入代币的内部账本，提款则通过跨链桥将代币转出。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取了 380 万美元，并在检测后 36 小时内归还全部资金，所有受影响用户已获全额补偿。

报告显示，该功能会在代币存入时通知第三方合约。攻击者创建了一个故意让通知失败的合约，使代币合约退还存款，而 NEAR Intents 仍保留对应的账本信用额度。在 23 笔失败存款交易中，攻击者累积了 380 万美元无支撑余额，报告称之为 ghost funds，随后据此提取真实代币，并通过 Omni 基础设施转移至其他链。Shevchenko 表示，这是 NEAR Intents 合约的漏洞，而非 Omni 基础设施的漏洞。

提款发生在 9 月 29 日至 10 月 1 日。结算合约于 10 月 1 日暂停并重新开放，受影响路由随后逐步恢复，合约侧存款于 10 月 2 日恢复。报告称，漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有的代币；团队已补充该检查，并在余额不一致时自动暂停合约。10 月漏洞的修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。