تقرير عن ثغرة NEAR Intents، خسارة بقيمة 3.8 مليون دولار ناتجة عن عيب في إشعار الإيداع

أصدرت بروتوكول تبادل العملات عبر السلاسل NEAR Intents تقريرًا يعزو الثغرة التي تسببت في خسارة 3.8 مليون دولار إلى عيب في وظيفة إشعار الإيداع. يحتفظ البروتوكول بسجل داخلي للرموز المودعة في عقد التسوية العامة على NEAR، ويتم سحب الأموال عبر جسر عبر السلاسل. تم نشر التقرير من قبل المدير العام أليكس شيفتشينكو في 16 أكتوبر، حيث ذكر أن المهاجمين قاموا بسحب 3.8 مليون دولار قبل إغلاق البروتوكول في 1 أكتوبر، وأعادوا جميع الأموال خلال 36 ساعة بعد الكشف عن الهجوم، وقد تم تعويض جميع المستخدمين المتأثرين بالكامل. يُظهر التقرير أن هذه الوظيفة تُخطر العقود الخارجية عند إيداع الرموز، وقد أنشأ المهاجمون عقدًا يتسبب عمدًا في فشل الإشعار، مما يجعل عقد الرموز يعيد الإيداع، بينما لا يزال يحتفظ NEAR Intents بحد الائتمان المقابل في السجل. من خلال 23 معاملة إيداع فاشلة، تراكم المهاجمون رصيدًا غير مدعوم بقيمة 3.8 مليون دولار، وأطلق عليه التقرير اسم "أموال شبح"، ثم قاموا بسحب الرموز الحقيقية ونقلها عبر بنية Omni التحتية إلى سلاسل أخرى. حدثت عمليات السحب بين 29 سبتمبر و1 أكتوبر، وتم تعليق عقد التسوية في 1 أكتوبر وإعادة فتحه، واستؤنفت إيداعات العقد في 2 أكتوبر. ذكر التقرير أن الثغرة لم تُكتشف لأن المراقبة كانت تقارن فقط الأصول الأصلية مع إجمالي رصيد الرموز على جانب NEAR، دون مقارنة إجمالي رصيد المستخدمين الداخلي مع الرموز التي تحتفظ بها العقود فعليًا؛ وقد أضاف الفريق هذا الفحص، وسيتم تعليق العقد تلقائيًا عند وجود عدم تطابق في الرصيد. تم نشر إصلاح الثغرة في أكتوبر في 2 أكتوبر، ولكن تقرير ثغرة خطيرة آخر لنفس الوظيفة دفع إلى إزالتها بالكامل في 7 أكتوبر، وتم منح الباحثين المعنيين مكافأة قدرها 300,000 دولار.