Informe de vulnerabilidad de NEAR Intents, pérdidas de 3,8 millones de dólares debido a un defecto en la notificación de depósitos

El protocolo de intercambio entre cadenas NEAR Intents ha publicado un informe que atribuye una vulnerabilidad de 3,8 millones de dólares a un defecto en la función de notificación de depósitos. Este protocolo mantiene un libro interno de los tokens depositados en su contrato de liquidación pública en NEAR, y las retiradas se realizan a través de un puente entre cadenas. El informe fue publicado por el director general Alex Shevchenko el 16 de octubre, quien afirmó que los atacantes retiraron 3,8 millones de dólares antes de que el protocolo se detuviera el 1 de octubre, y devolvieron todos los fondos dentro de las 36 horas posteriores a la detección, con todos los usuarios afectados recibiendo una compensación completa. El informe muestra que esta función notifica a los contratos de terceros cuando se depositan tokens; los atacantes crearon un contrato que intencionalmente hacía que la notificación fallara, lo que permitía que el contrato de tokens devolviera el depósito, mientras que NEAR Intents mantenía el límite de crédito correspondiente en su libro. En 23 transacciones de depósito fallidas, los atacantes acumularon un saldo no respaldado de 3,8 millones de dólares, que el informe denominó "fondos fantasmas", y luego retiraron tokens reales y los transfirieron a otras cadenas a través de la infraestructura de Omni. Las retiradas ocurrieron entre el 29 de septiembre y el 1 de octubre, y el contrato de liquidación se suspendió el 1 de octubre y se reabrió posteriormente, mientras que los depósitos del lado del contrato se reanudaron el 2 de octubre. El informe indica que la vulnerabilidad no fue detectada porque la supervisión solo comparaba los activos de la cadena original con el saldo total de tokens del lado de NEAR, sin comparar la suma de los saldos internos de los usuarios con los tokens que el contrato realmente poseía; el equipo ha añadido esta verificación y pausará automáticamente el contrato en caso de discrepancias en los saldos. La corrección de la vulnerabilidad de octubre se implementó el 2 de octubre, pero otro informe de vulnerabilidad grave sobre la misma función llevó a su eliminación completa el 7 de octubre, y el investigador relacionado recibió una recompensa de 300,000 dólares.