NEAR Intents phát hành báo cáo sau sự cố, 3.8 triệu đô la Mỹ lỗ hổng xuất phát từ thiếu sót trong thông báo gửi tiền
Báo cáo hậu sự kiện của giao thức trao đổi chuỗi chéo NEAR Intents đã chỉ ra rằng lỗ hổng 3,8 triệu đô la Mỹ là do lỗi trong chức năng thông báo gửi tiền. Giao thức này được triển khai trên hợp đồng thanh toán công khai của NEAR, duy trì sổ cái nội bộ cho các token đã gửi, và việc rút tiền được thực hiện thông qua cầu nối chuỗi chéo. Báo cáo được Giám đốc điều hành NEAR Intents, Alex Shevchenko, công bố vào ngày 16 tháng 10, cho biết kẻ tấn công đã rút 3,8 triệu đô la trước khi giao thức ngừng hoạt động vào ngày 1 tháng 10, và đã hoàn trả toàn bộ số tiền trong vòng 36 giờ sau khi phát hiện, tất cả người dùng bị ảnh hưởng đã được bồi thường đầy đủ.
Báo cáo cho thấy chức năng này sẽ thông báo cho hợp đồng bên thứ ba khi token được gửi vào. Kẻ tấn công đã tạo ra một hợp đồng cố ý làm cho thông báo thất bại, khiến hợp đồng token hoàn trả tiền gửi, trong khi NEAR Intents vẫn giữ lại hạn mức tín dụng trong sổ cái tương ứng. Trong 23 giao dịch gửi tiền thất bại, kẻ tấn công đã tích lũy được 3,8 triệu đô la số dư không được hỗ trợ, báo cáo gọi đây là quỹ ma, sau đó dựa vào đó để rút token thực và chuyển đến các chuỗi khác thông qua cơ sở hạ tầng Omni. Shevchenko cho biết, đây là lỗ hổng của hợp đồng NEAR Intents, chứ không phải lỗ hổng của cơ sở hạ tầng Omni.
Việc rút tiền diễn ra từ ngày 29 tháng 9 đến ngày 1 tháng 10. Hợp đồng thanh toán đã bị tạm dừng vào ngày 1 tháng 10 và sau đó mở lại, các tuyến đường bị ảnh hưởng đã được khôi phục dần dần, việc gửi tiền bên hợp đồng đã được khôi phục vào ngày 2 tháng 10. Báo cáo cho biết, lỗ hổng không được phát hiện là do việc giám sát chỉ so sánh tài sản chuỗi gốc với tổng số dư token bên NEAR, không so sánh tổng số dư nội bộ của người dùng với số token thực tế mà hợp đồng nắm giữ; đội ngũ đã bổ sung kiểm tra này và tự động tạm dừng hợp đồng khi có sự không nhất quán trong số dư. Việc sửa chữa lỗ hổng vào tháng 10 đã được triển khai vào ngày 2 tháng 10, nhưng một báo cáo lỗ hổng nghiêm trọng khác liên quan đến cùng một chức năng đã thúc đẩy việc loại bỏ hoàn toàn nó vào ngày 7 tháng 10, các nhà nghiên cứu liên quan đã nhận được phần thưởng 300.000 đô la.