NEAR Intents 复盘 10 月 1 日漏洞：380 万美元已全额追回
NEAR Intents 发布 10 月 1 日漏洞事件复盘：380 万美元资金已 100% 追回，存款通知功能已移除
内容摘要
深潮 TechFlow 消息，NEAR Intents 负责人 Alex Shevchenko 发布 10 月 1 日漏洞事件复盘：攻击者利用存款通知功能漏洞，通过 23 笔失败存款交易凭空生成约 380 万美元幽灵资金并经 Omni 基础设施提取至外链，漏洞属于 NEAR Intents 合约而非 Omni。复盘显示攻击发生于 9 月 29 日至 10 月 1 日，团队 10 月 1 日发现异常并在 29 分钟内暂停合约，攻击者于 10 月 2 日全额归还资金。团队已移除存款通知功能并新增余额不变量监控，破坏即自动暂停；10 月 7 日白帽研究员 @rohanganapa 经 HackenProof 报告同一功能的另一严重漏洞，获 30 万美元奖励。
漏洞源于存款通知失败后合约仍记账，整改改为监控余额不变量并自动暂停。
来源：深潮 TechFlow · Web3 资讯 · techflowpost.com
打开原文所属事件
NEAR Intents事后报告：存款通知缺陷致380万美元被盗
NEAR Intents于10月16日发布事后报告，将10月1日约380万美元被盗归因于其合约的存款通知功能缺陷：攻击者创建故意使通知失败的合约，代币被退回而协议账本仍保留信用，在23笔失败存款交易中累积380万美元无支撑余额后提取真实代币，经Omni基础设施转移至其他链。团队称攻击者在检测后36小时内归还全部资金，受影响用户已获全额补偿；存在漏洞的功能已于10月7日移除，另一名研究员因发现相关严重漏洞获30万美元奖励。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
TVL、交易额和资金流入有什么区别？
TVL 是某个时点锁定资产的价值，交易额是一个时间窗口内发生的交易规模，净流入是流入减流出。三者衡量不同对象；美元 TVL 上升可能来自币价上涨，不能直接解释为同等金额的新资金进入。
为什么 TVL 涨了，资金未必流入？
假设协议仅锁定 100 枚资产，单价从 10 美元升到 12 美元，数量不变，美元 TVL 仍会从 1,000 变为 1,200 美元。这个纯算术示例里，TVL 增长 20%，新增存入为零。反过来，币价下跌也可能掩盖新增存款。
如何核验区块链新闻？从转发热度追到原始证据
核验一条区块链消息，先确定它主张了什么、涉及哪个资产或协议，再追到原始公告、交易记录或提案，并对齐发布、采样和生效时间。多家转载同一出处不能算多份独立证据，事件热度也不是事实可信度。
阅读完整说明 →相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息PANews
NEAR Intents发布10月1日安全事件复盘，380万美元资金已全部追回
查看摘要与出处
PANews 10月17日消息，NEAR Intents 发布 10 月 1 日安全事件报告，其智能合约存在一个与第三方合约交互相关的漏洞，攻击者利用调用失败后的退款机制使资金退回但存款仍被记录，通过 23 笔失败的存款交易产生约 380 万美元虚假余额，随后经 Omni 跨链基础设施提取资金。报告称漏洞存在于 NEAR Intents 合约本身而非 Omni 基础设施，发现后 36 小时内资金已全部追回。团队已移除相关存款通知功能，引入余额异常监控及自动暂停机制，并向 10 月 7 日报告同一功能另一项严重漏洞的研究员支付 30 万美元赏金，目前系统已恢复正常。
核对原文 ↗同一消息Odaily 星球日报 · 重要快讯
NEAR Intents 披露 380 万美元漏洞事件：资金已全部归还
查看摘要与出处
跨链兑换协议 NEAR Intents 发布漏洞事后报告，称价值 380 万美元资产被提取源于存款通知功能缺陷：攻击者创建故意使通知失败的智能合约，代币被退回但协议内部账本仍记录余额。攻击者通过 23 笔失败存款交易累计生成 380 万美元无资产支撑的虚假余额，于 9 月 29 日至 10 月 1 日提取真实代币并经 Omni 基础设施转移至其他区块链。NEAR Intents 总经理 Alex Shevchenko 称漏洞在 NEAR Intents 合约而非 Omni 基础设施。团队称攻击者在漏洞被发现后 36 小时内归还全部资金，受影响用户已获全额补偿，存在漏洞的功能已于 10 月 7 日移除，另一名安全研究员因发现相关严重漏洞获 30 万美元奖励。
核对原文 ↗同一消息ChainCatcher 链捕手 · 中文资讯
NEAR Intents 发布事后报告，380 万美元漏洞源于存款通知缺陷
查看摘要与出处
ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取 380 万美元，并在检测后 36 小时内归还全部资金，受影响用户已获全额补偿。报告称，攻击者创建了故意让通知失败的合约，使代币合约退还存款而 NEAR Intents 仍保留账本信用，在 23 笔失败存款交易中累积 380 万美元无支撑余额（ghost funds）后提取真实代币并经 Omni 基础设施转移至其他链；Shevchenko 表示这是 NEAR Intents 合约的漏洞而非 Omni 的漏洞。提款发生在 9 月 29 日至 10 月 1 日，结算合约 10 月 1 日暂停后重新开放，合约侧存款 10 月 2 日恢复。报告称漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有代币，团队已补充该检查并在余额不一致时自动暂停合约；10 月漏洞修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。
核对原文 ↗同一事件的进展Unchained · 采访与独立报道
NEAR Intents 总经理称 380 万美元攻击部分资金以门罗币返还
查看摘要与出处
NEAR Intents 总经理 Alex Shevchenko 在 Unchained 10 月 8 日录制的节目中称，10 月 1 日被攻击者盗走的约 380 万美元中，只有部分以比特币返还，其余被换成门罗币（XMR），团队仍在处理兑换。独立链上分析师 Kuncoro 曾核对返还地址，发现比特币地址收到 34.59 BTC，约占总额 78%，Shevchenko 承认其余通过不同渠道返还。团队已先用自有资金补足智能合约，剩余步骤是把 XMR 换成 USDT 返还用户，但面临资金来源说明问题；Shevchenko 未透露 XMR 具体金额。他还说明了用攻击者公钥加密发送 Signal 群邀请的沟通方式，并称事件后收到的漏洞提交中有一份有效并将获赏。
核对原文 ↗同一事件的进展Rekt 安全事件复盘
Rekt 复盘 NEAR Intents 387 万美元被盗事件：资金全额归还但技术报告缺失
查看摘要与出处
NEAR Intents 在 BNB Chain 上的金库于 9 月 30 日至 10 月 1 日约六小时内被提走 386.5 万 USDT，总经理 Alex Shevchenko 于 10 月 2 日给出 48 小时期限后资金被全额追回并终止调查。Rekt 指出，NEAR 承诺的详细技术报告截至 10 月 8 日仍未发布，漏洞完整触发路径仍不公开。
核对原文 ↗同一事件的进展Unchained · 采访与独立报道
NEAR Intents 追回被盗 380 万美元并结束调查
相关资产
NEAR · NEAR / Intents
协议与产品进展；Intents、near.com 与主链风险分开