Rapporto sulla vulnerabilità di NEAR Intents, 3,8 milioni di dollari di perdite dovute a difetti nelle notifiche di deposito

Il protocollo di scambio cross-chain NEAR Intents ha pubblicato un rapporto che attribuisce una vulnerabilità di 3,8 milioni di dollari a un difetto nella funzione di notifica dei depositi. Il protocollo mantiene un libro mastro interno per i token depositati nel contratto di regolamento pubblico su NEAR, e i prelievi vengono effettuati tramite un ponte cross-chain. Il rapporto è stato pubblicato dal direttore generale Alex Shevchenko il 16 ottobre, e afferma che gli aggressori hanno prelevato 3,8 milioni di dollari prima che il protocollo fosse chiuso il 1° ottobre, restituendo l'intero importo entro 36 ore dalla rilevazione, con tutti gli utenti colpiti che hanno ricevuto un rimborso completo. Il rapporto mostra che la funzione notifica un contratto di terze parti al momento del deposito dei token; gli aggressori hanno creato un contratto progettato per far fallire la notifica, consentendo al contratto dei token di restituire il deposito, mentre NEAR Intents manteneva ancora il corrispondente limite di credito nel libro mastro. In 23 transazioni di deposito fallite, gli aggressori hanno accumulato un saldo non supportato di 3,8 milioni di dollari, che il rapporto definisce "fondi fantasma", e successivamente hanno prelevato token reali trasferendoli su altre catene tramite l'infrastruttura Omni. I prelievi sono avvenuti tra il 29 settembre e il 1° ottobre, con il contratto di regolamento sospeso il 1° ottobre e riaperto successivamente, mentre i depositi nel contratto sono stati ripristinati il 2 ottobre. Il rapporto afferma che la vulnerabilità non è stata rilevata perché il monitoraggio confrontava solo gli asset della catena originale con il saldo totale dei token sul lato NEAR, senza confrontare il totale dei saldi interni degli utenti con i token effettivamente detenuti dal contratto; il team ha aggiunto questo controllo e sospenderà automaticamente il contratto in caso di discrepanze nei saldi. La correzione della vulnerabilità di ottobre è stata implementata il 2 ottobre, ma un altro grave rapporto sulla stessa funzione ha portato alla sua rimozione completa il 7 ottobre, con il ricercatore coinvolto che ha ricevuto un premio di 300.000 dollari.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.