NEAR Intents 发布 10 月 1 日漏洞事件复盘：380 万美元资金已 100% 追回，存款通知功能已移除

深潮 TechFlow 消息，10 月 17 日，NEAR Intents 相关负责人 Alex Shevchenko（@AlexAuroraDev）发布的事件复盘文章，NEAR Intents 合约在与第三方合约交互的存款通知功能中存在漏洞。攻击者部署了会使通知调用失败的合约，导致代币合约退回存款，而 NEAR Intents 合约仍保留存款记录。攻击者通过 23 笔失败存款交易，凭空生成约 380 万美元的"幽灵资金"，并经 Omni 基础设施提取至外链。该漏洞属于 NEAR Intents 合约，并非 Omni 基础设施问题。

时间线显示，攻击发生于 9 月 29 日至 10 月 1 日，团队于 10 月 1 日发现提款异常，并在 29 分钟内暂停合约。经 SHIELD 安全层、链上追踪及行业安全研究人员协作，攻击者于 10 月 2 日全额归还资金，受影响用户均已获得补偿。复盘指出，原有监控仅覆盖源链与 NEAR 侧代币总余额差异，未监控用户总余额与合约代币余额的差异，导致攻击持续多日未被发现。

整改方面，团队已彻底移除存款通知功能，并新增用户总余额与合约余额的监控，一旦该不变量被破坏，合约将自动暂停。10 月 7 日，白帽研究员 @rohanganapa 通过 HackenProof 漏洞赏金计划报告了同一功能的另一个严重漏洞，获得 30 万美元奖励。团队还表示将继续推进形式化验证。

https://www.techflowpost.com/zh-CN/newsletter/140312