NEAR Intents 3.8 млн: постмортем — баг депозитных уведомлений, средства вернули за 36 часов

NEAR Intents 3.8 млн — сумма, которую постмортем протокола связывает с багом депозитных уведомлений, а не с «дырой в Omni» как таковой. По The Crypto Times и DeFi Prime, атакующий между 29 сентября и 1 октября насоздавал необеспеченные балансы и вывел около $3,8 млн. Все средства команда считает возвращёнными в пределах 36 часов после обнаружения.

Как появились «ghost funds»

Intents-контракт на NEAR учитывает депозиты и умел уведомлять сторонний контракт при внесении токенов. Атакующий задеплоил контракт, который заставлял эти notification calls падать. При фейле токены возвращались, но внутренний ledger Intents всё равно留стал депозит. Повтор ×23 дал примерно $3,8 млн «фантомного» обеспечения, которое затем ушло через Omni на другую сеть.

Crypto Times приводит окно выводов: с 16:14 UTC 29 сентября до 05:54 UTC 1 октября. Мониторинг сравнивал балансы origin-цепей с токенами на NEAR, но не сверял user-recorded balances Intents с реальным холдингом контракта — дыра на ~40 часов после первого вывода. ZachXBT, по тексту, флагнул аномальные outflows с BNB hot wallet и адрес 0x09fd…ad37.

Postmortem: фича уведомлений имела историю баг-репортов «в промежутке между двумя шагами»; после октябрьского critical report её убрали.

Январский баунти по похожей теме команда чинила за два дня и тогда эксплойта не было. Это важно для честной картинки: сигнал был раньше, финальный удар пришёл в асинхронной модели NEAR, где failed calls нужно закрывать follow-up логикой.

NEAR Intents 3.8 млн: возврат и что поменяли

Shevchenko (GM) 2 октября писал, что exploiter идентифицирован и поставил дедлайн возврата 4 октября. Сумма вернулась раньше срока, в том числе BTC и XMR; контракты пополнили своими средствами, пока конвертировали Monero. On-chain сообщение атакующего: «We've returned all the funds, we were in the wrong.» Имя публично не раскрывали.

Мониторинг доработали: сверка recorded user balances vs tokens held; при расхождении — автопауза. В планах — formal verification. Shevchenko просит другие NEAR-команды проверить refund-пути и делиться инцидентами через SHIELD.

Рядом по ленте безопасности мы недавно разбирали взлом Gamdom ~$4,2 млн и атаку UNCX Vesting V2. Там другие механики и другой исход по возврату; путать сюжеты не надо.

Что это значит для тебя

Если пользовался маршрутами Intents в те дни, смотри официальные каналы протокола по статусу восстановления — постмортем утверждает full recovery. Если проектируешь контракты на NEAR: failed cross-contract calls + accounting — отдельный класс риска, не «теоретический edge case».

Практично без паники:

1. Читай postmortem, а не только заголовок «hack $3.8M».
2. Проверяй, снята ли опасная feature (здесь — deposit notifications).
3. Не подключай кошелёк к фейковым «claim compensation» сайтам после чужого инцидента.
4. Баунти $300k — сигнал, что critical path всё же дошёл через HackenProof, но уже после дыры.

Масштаб сопоставим с другими октябрьскими инцидентами по сумме, но финал с полным возвратом редкий. Это не индульгенция протоколу: 40 часов мониторинга мимо accounting — факт из их же текста.

Отдельно стоит подчеркнуть роль внешних глаз: флаги ZachXBT по hot wallet на BNB Chain ускорили публичное внимание, а баунти-программа в итоге закрыла класс бага дорогой выплатой. Для пользователя кросс-чейн мостов вывод простой — задержка между on-chain аномалией и паузой контракта измеряется часами, не секундами, даже у команд с постмортемом «мы всё вернули».

Сравнение с соседними инцидентами октября помогает не раздуть и не приуменьшить кейс. $3,8 млн — меньше части громких дрейнов недели, но класс бага (учёт при failed async call) системнее «просто угнали ключ hot wallet». Именно поэтому команда пишет про formal verification и автопаузу: разового «блондин-фикса» мало, если мониторинг не видит расхождение ledger vs custody.

Для пользователя кросс-чейн UX вывод жёсткий: статус «мы на NEAR / мы через Omni» не отменяет необходимость смотреть, как протокол обрабатывает refunds. Если депозит «уведомляет» сторонний контракт, читай, что будет при revert. Постмортем Intents — учебник ценой $3,8 млн с хэппи-эндом по деньгам и неприятным уроком по observability.

Не менее важно поведение после детекта: 29 минут до паузы — быстро по меркам DeFi-инцидентов, но 40 часов с первым выводом до детекта accounting-дыры — медленно. Эти две цифры из одного текста нельзя усреднять: одна про реакцию, другая про слепые зоны телеметрии.

FAQ

Сколько украли по факту? Около $3,8 млн вывели; команда заявляет полный возврат за 36 часов после детекта.

Это взлом Omni? Postmortem настаивает на баге Intents deposit notification, не на компрометации Omni как корневой причине.

Когда остановили контракт? 1 октября, через 29 минут после детекта в 08:04 UTC.

Стоит ли сейчас пользоваться Intents? Источники описывают инцидент и фикс; решение по использованию — на тебе после чтения свежего статуса протокола.

Итог: NEAR Intents 3.8 млн — accounting-баг на failed notifications, быстрая пауза и редкий полный возврат. Детали — в Crypto Times и DeFi Prime по постмортему команды.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.