NEAR Intents 漏洞事件回顾：攻击者利用智能合约缺陷生成虚假余额，团队迅速追回资金并修复漏洞
今日加密货币新闻头条报道了一起 NEAR Intents 漏洞事件。据悉，一名攻击者利用智能合约中的存款机制缺陷，在10月1日的23笔失败交易中生成了约380万美元的虚假余额。NEAR Intents 团队在36小时内成功追回全部资金，并应用了安全修复措施，随后向一位独立发现相关漏洞的研究人员支付了30万美元的赏金。然而，关于受影响用户的赔偿情况以及完整的链上交易审计报告，目前尚未得到独立验证。
核心要点摘要
- 漏洞本质：10月1日发生的 NEAR Intents 漏洞暴露了智能合约中的存款机制缺陷，导致攻击者在23笔失败交易中获得了约380万美元的虚假余额。
- 技术细节：该漏洞存在于 NEAR Intents 合约中，而非 Omni 跨链基础设施。问题出在退款机制在存款记录被清除之前即被触发。
- 处置结果：通过链上追踪和协商，全部380万美元资金在36小时内被追回。团队不仅实施了安全修复，还因另一位研究人员于10月7日报备的相关关键漏洞支付了30万美元赏金。
事后分析报告：Alex Shevchenko 详解事件经过
在最新的加密货币新闻报道中，NEAR Intents 总经理 Alex Shevchenko (@AlexAuroraDev) 发布了针对10月1日安全事件的详细事后分析报告（Postmortem）。该报告题为“事后分析：NEAR Intents 10月1日漏洞事件”，是该项目领导层对此次漏洞存在的直接承认，确认漏洞已被利用且已得到解决。报告的发布姿态表明，团队将此视为一个已结案的事故，而非持续性的威胁。
漏洞工作原理解析
根攻击者在调用第三方合约进行代币存款的过程中，利用了 NEAR Intents 智能合约中的退款机制。在一次调用失败后，系统触发了退款流程，但此时存款记录仍被视为有效，从而产生了虚假余额。通过23笔失败的存款交易，攻击者生成了约380万美元的虚假余额，并通过 Omni 跨链基础设施将其提取。团队确认，该漏洞位于 NEAR Intents 合约内部，而非 Omni 层面。
团队的应急响应措施
NEAR Intents 的 SHIELD AI 安全层检测到了此次异常活动。在发现漏洞后的一个小时内，团队暂停了包括 BSC 和 Polygon 在内的11个网络上的服务。Alex Shevchenko 公开指出了疑似攻击者的身份，并通过 BTC、EVM 和 Solana 等链提供了归还地址，设定了48小时的最后期限。最终，全部380万美元资金被退回，调查于10月4日结案。此外，团队还向一位在10月7日独立报告同一函数中相关关键漏洞的研究人员支付了30万美元赏金。
团队共实施了三项修复措施：移除相关的存款通知功能、建立异常余额监控机制，以及部署自动暂停机制。
尚待确认的信息
尽管事件已基本平息，但仍有一些细节未完全公开：攻击者的确切身份未被公开命名；获得30万美元赏金的研究人员身份也未在审查过的资料中披露；各条链上具体发生在哪23笔交易的明细并未公开；承诺的用户全额赔偿是否已实际发放，在目前的媒体报道中也未得到独立验证。
后续关注重点
对于关注此次 NEAR Intents 漏洞事件的读者而言，有两个关键点值得留意：首先，用户全额赔偿是否得到确认并已分发；其次，NEAR Intents 是否会公布此次事件的完整链上交易审计报告。
