NEAR Intents erhält vollständige gestohlene 3,8 Millionen US-Dollar nach 48-Stunden-Ultimatum an den Angreifer zurück
Wichtige Erkenntnisse
- •NEAR Intents hat die vollen 3,8 Millionen US-Dollar zurückgewonnen, die beim Sicherheitsvorfall am Donnerstag gestohlen wurden, nachdem der Angreifer identifiziert und ein 48-Stunden-Ultimatum zur Rückgabe der Gelder gestellt wurde.
- •Der Exploit beruhte auf einem Fehler in der Interaktion zwischen der Omni-Einzahlungs- und -Auszahlungsinfrastruktur des Protokolls und seinen Smart Contracts, was am Thursday zur Aussetzung der Dienste führte.
- •Generalmanager Alex Shevchenko kündigte an, dass die Gelder vollständig zurückgegeben wurden, erklärte, die Untersuchung werde beendet, und forderte Angreifer auf, stattdessen Bug-Bounty-Programme zu nutzen.
- •Der Blockchain-Eittler ZachXBT hatte vor der Rückholung gemeldet, dass die gestohlenen Assets zur Börse KuCoin transferiert und zu Bitcoin gebrückt wurden.
- •Der Responsible-Disclosure-Ansatz gab dem identifizierten Angreifer ein festes Zeitfenster, um die Gelder zurückzugeben und die ausgenutzte Schwachstelle offenzulegen; das Team sagte eine vollständige Entschädigung der betroffenen Nutzer zu.
NEAR Intents hat mitgeteilt, dass das Unternehmen die vollen 3,8 Millionen US-Dollar zurückgewonnen hat, die bei einem Sicherheitsvorfall am Donnerstag gestohlen wurden, nachdem der Angreifer identifiziert und aufgefordert worden war, die Gelder innerhalb von 48 Stunden zurückzugeben.
Der Vorfall spielte sich über etwa zwei Tage ab: Die Dienste wurden am Donnerstag nach Entdeckung des Fehlers ausgesetzt, der Angreifer wurde am Freitag identifiziert und gewarnt, und noch am selben Tag kehrten die Gelder vollständig zurück.
Wie Cointelegraph am Freitag berichtete, hatte das Protokoll die Person hinter dem Sicherheitsvorfall identifiziert und ein 48-Stunden-Ultimatum zur Rückgabe des Geldes im Rahmen einer „responsible disclosure“ gestellt – ein Ansatz, der einem identifizierten Angreifer ein festes Zeitfenster einräumt, um die Gelder zurückzugeben und die ausgenutzte Schwachstelle offenzulegen.
„Die Gelder aus dem 3,8-Millionen-Dollar-Hack von NEAR Intents wurden vollständig zurückgeschickt“, schrieb NEAR-Intents-Generalmanager Alex Shevchenko auf X. „Wir beenden die Untersuchung. Bitte nutzen Sie stattdessen Bug Bounties, anstatt die Dienste zu stören.“
Die Botschaft verwies auf Bug-Bounty-Programme – dauerhafte Angebote, die Sicherheitsforscher für die verantwortungsvolle Meldung von Schwachstellen bezahlen – als den Kanal, den das Team potenzielle Angreifer nutzen lassen möchte.
Was geschah
NEAR Intents setzte seine Dienste aus, nachdem das Unternehmen einen „Fehler in der Interaktion der Omni-Einzahlungs- und -Auszahlungsinfrastruktur mit dem NEAR-Intents-Smart-Contract“ festgestellt hatte.
Die fehlerhafte Interaktion liegt im Kern der Funktionsweise des Protokolls: NEAR Intents ist ein Cross-Chain-Intents-Protokoll, das Nutzern den Handel mit Assets über verschiedene Blockchains hinweg ermöglicht. Daher ist der Einzahlungs- und Auszahlungspfad, der die Infrastruktur mit den Smart Contracts verbindet, zentral für die Bewegung der Nutzerfonds.
NEARs vorläufige Untersuchung ergab, dass 3,8 Millionen US-Dollar an Nutzerfonds gestohlen worden waren, und das Team sagte zu, die betroffenen Nutzer vollständig zu entschädigen.
Bevor die Gelder zurückgegeben wurden, meldete der Blockchain-Ermittler ZachXBT berichtete, dass die gestohlenen Assets zur Börse KuCoin transferiert und zu Bitcoin gebrückt worden waren. Dennoch kehrte der volle Betrag innerhalb des Ultimatum-Zeitfensters zurück, sodass die betroffenen Nutzer vollständig entschädigt wurden.
Verwandt: NEAR Intents sagt, es habe den Hacker identifiziert, und stellt 48-Stunden-Ultimatum
Das Team hat nun seine Untersuchung nach der vollständigen Rückgewinnung der Nutzerfonds abgeschlossen. Damit dieses Kapitel abgeschlossen ist, würden weitere Details von NEAR Intents zum zugrunde liegenden Fehler und etwaige Updates zum Bounty-Programm zeigen, wie das Protokoll Shevchenkos Appell umsetzt.
