NEAR Intents 发布事后报告，380 万美元漏洞源于存款通知缺陷
内容摘要
ChainCatcher 消息，跨链兑换协议 NEAR Intents 发布事后报告，将 380 万美元漏洞归因于存款通知功能缺陷。报告由 NEAR Intents 总经理 Alex Shevchenko 于 10 月 16 日发布，称攻击者在 10 月 1 日协议关停前提取 380 万美元，并在检测后 36 小时内归还全部资金，受影响用户已获全额补偿。报告称，攻击者创建了故意让通知失败的合约，使代币合约退还存款而 NEAR Intents 仍保留账本信用，在 23 笔失败存款交易中累积 380 万美元无支撑余额（ghost funds）后提取真实代币并经 Omni 基础设施转移至其他链；Shevchenko 表示这是 NEAR Intents 合约的漏洞而非 Omni 的漏洞。提款发生在 9 月 29 日至 10 月 1 日，结算合约 10 月 1 日暂停后重新开放，合约侧存款 10 月 2 日恢复。报告称漏洞未被发现是因为监控仅比较原始链资产与 NEAR 侧代币总余额，未比较用户内部余额总和与合约实际持有代币，团队已补充该检查并在余额不一致时自动暂停合约；10 月漏洞修复于 10 月 2 日部署，但同一功能另一起严重漏洞报告促使其于 10 月 7 日被完全移除，相关研究员获得 30 万美元奖励。
漏洞来自存款通知失败后账本仍记信用，监控只比对链上总余额未比对用户余额之和，修复后该功能被整体移除。
来源：ChainCatcher 链捕手 · 中文资讯 · chaincatcher.com
打开原文所属事件
NEAR Intents事后报告：存款通知缺陷致380万美元被盗
NEAR Intents于10月16日发布事后报告，将10月1日约380万美元被盗归因于其合约存款通知功能缺陷：攻击者创建故意使通知失败的合约，代币被退回而协议账本仍保留信用，在23笔失败存款交易中累积380万美元无支撑余额后提取真实代币，经Omni基础设施转移至其他链。团队称攻击者在检测后36小时内归还全部资金，受影响用户已获全额补偿；存在漏洞的功能已于10月7日移除，另一名研究员因发现相关严重漏洞获30万美元奖励。
最新变化：NEAR Intents发布事后报告，披露漏洞机制、修复时间线及30万美元漏洞奖励。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
跨链显示已发送却未到账？来源交易、消息与目标执行分开查
跨链操作通常有来源链、消息验证和目标链处理等阶段。来源交易成功只证明该侧动作完成，判断到账要追到目标网络的实际结果和资产身份。
阅读完整说明 →稳定币供应增长等于资金流入吗？铸造、销毁与跨链要分开
稳定币供应描述统计范围内的存量，资金流入需要定义流入边界。铸造、赎回销毁、桥接与跨链迁移可能影响不同网络的供应，不能把单链增加直接写成全市场新增资金。
阅读完整说明 →相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一消息Odaily 星球日报 · 重要快讯
NEAR Intents 披露 380 万美元漏洞事件：资金已全部归还
查看摘要与出处
跨链兑换协议 NEAR Intents 发布漏洞事后报告，称价值 380 万美元资产被提取源于存款通知功能缺陷：攻击者创建故意使通知失败的智能合约，代币被退回但协议内部账本仍记录余额。攻击者通过 23 笔失败存款交易累计生成 380 万美元无资产支撑的虚假余额，于 9 月 29 日至 10 月 1 日提取真实代币并经 Omni 基础设施转移至其他区块链。NEAR Intents 总经理 Alex Shevchenko 称漏洞在 NEAR Intents 合约而非 Omni 基础设施。团队称攻击者在漏洞被发现后 36 小时内归还全部资金，受影响用户已获全额补偿，存在漏洞的功能已于 10 月 7 日移除，另一名安全研究员因发现相关严重漏洞获 30 万美元奖励。
核对原文 ↗同一事件的进展Unchained · 采访与独立报道
NEAR Intents 总经理称 380 万美元攻击部分资金以门罗币返还
查看摘要与出处
NEAR Intents 总经理 Alex Shevchenko 在 Unchained 10 月 8 日录制的节目中称，10 月 1 日被攻击者盗走的约 380 万美元中，只有部分以比特币返还，其余被换成门罗币（XMR），团队仍在处理兑换。独立链上分析师 Kuncoro 曾核对返还地址，发现比特币地址收到 34.59 BTC，约占总额 78%，Shevchenko 承认其余通过不同渠道返还。团队已先用自有资金补足智能合约，剩余步骤是把 XMR 换成 USDT 返还用户，但面临资金来源说明问题；Shevchenko 未透露 XMR 具体金额。他还说明了用攻击者公钥加密发送 Signal 群邀请的沟通方式，并称事件后收到的漏洞提交中有一份有效并将获赏。
核对原文 ↗同一事件的进展Rekt 安全事件复盘
Rekt 复盘 NEAR Intents 387 万美元被盗事件：资金全额归还但技术报告缺失
查看摘要与出处
NEAR Intents 在 BNB Chain 上的金库于 9 月 30 日至 10 月 1 日约六小时内被提走 386.5 万 USDT，总经理 Alex Shevchenko 于 10 月 2 日给出 48 小时期限后资金被全额追回并终止调查。Rekt 指出，NEAR 承诺的详细技术报告截至 10 月 8 日仍未发布，漏洞完整触发路径仍不公开。
核对原文 ↗同一事件的进展Unchained · 采访与独立报道
NEAR Intents 追回被盗 380 万美元并结束调查
同一事件的进展PANews
NEAR Intents漏洞利用者向恢复钱包转入1 BNB并留言愿合作
查看摘要与出处
据慢雾安全首席信息安全官23pds的帖子，NEAR Intents总经理Alex Shevchenko表示，漏洞利用者向恢复钱包转入1 BNB并留言称愿意合作，请对方提供Signal联系方式。该笔转账来自此前转移约380万美元资金的同一地址，约一小时前该地址还在以太坊网络转入0.295 ETH并发送相同留言。
核对原文 ↗同一事件的进展Decrypt
Morning Minute：NEAR Intents 被盗 380 万美元，是否算利好型黑客事件
查看摘要与出处
NEAR Intents 周四遭攻击，约 380 万美元资金被盗，漏洞位于资金出入层与主合约的交互处；ZachXBT 追踪资金至 KuCoin 并被兑换为比特币，团队已报案并承诺全额赔付受影响用户。
核对原文 ↗
相关资产
NEAR · NEAR / Intents
协议与产品进展；Intents、near.com 与主链风险分开