Exploit en HOT Omni Bridge en NEAR: $3.86 millones en pagos de tesorería BSC devueltos posteriormente, según CertiKAlert
Puntos clave
- •El servicio de monitoreo CertiKAlert de CertiK identificó a HOT Omni Bridge en NEAR como el protocolo explotado, registrando cinco pagos enrutados a través de direcciones de tesorería de BNB Smart Chain el 30 de septiembre.
- •El valor agregado de las salidas observadas del lado de BSC alcanzó los $3.86 millones, aunque CertiKAlert reportó que los fondos fueron devueltos posteriormente.
- •La alerta pública no reveló cómo se devolvieron los fondos, la mecánica del exploit ni la identidad del atacante, y no contenía hashes de transacciones ni direcciones de billeteras.
- •El patrón de cinco pagos indica múltiples retiros discretos en lugar de un único drenaje atómico, una estructura que puede sugerir comportamiento de sondeo o una falla de contrato con límites de frecuencia.
- •Ni el equipo de HOT Protocol ni la NEAR Foundation han emitido una divulgación oficial, dejando sin confirmar la causa raíz y el estado de seguridad actual del puente.
HOT Omni Bridge, un puente cross-chain que opera en el Protocolo NEAR, sufrió un exploit el 30 de septiembre que resultó en cinco pagos desde direcciones de tesorería en BSC por un total de $3.86 millones, según un reporte de CertiKAlert publicado el 9 de octubre. El brazo de monitoreo de seguridad on-chain del auditor de blockchain CertiK señaló que los fondos explotados fueron devueltos posteriormente, aunque la mecánica del ataque y la identidad del atacante no han sido confirmadas en la alerta pública.
Lo que confirma el reporte de CertiKAlert
CertiKAlert señaló el incidente bajo su clasificación #CertiKInsight, identificando a HOT Omni Bridge como el protocolo explotado. Los cinco pagos se enrutaron a través de direcciones de tesorería en BNB Smart Chain (BSC), un patrón de enrutamiento que sugiere que el vector de ataque involucró la capa de mensajería cross-chain o de liquidez del puente entre NEAR y BSC.
La cifra de $3.86 millones representa el agregado de las cinco salidas observadas del lado de BSC. CertiKAlert indicó que el monto fue devuelto posteriormente, un detalle que distingue el incidente de un drenaje típico e irreversible de un puente, pero que no resuelve si la devolución fue voluntaria, coaccionada o el resultado de mecanismos de recuperación on-chain. La alerta pública no especificó cuándo ni cómo se devolvieron los fondos, y no incluyó hashes de transacciones ni direcciones de billeteras.
On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.
Read our full analysis here👇
CertiK Report Security Dashboard 👇
Fuente: @CertiKAlert on X
Implicaciones de riesgo para los usuarios de puentes en NEAR
Los exploits en puentes conllevan un riesgo sistémico desproporcionado en el DeFi multichain, ya que los puentes se sitúan en el límite de confianza entre dos entornos de ejecución distintos, bloqueando activos en una red mientras liberan o acuñan activos correspondientes en otra. NEAR ejecuta su propio runtime de contratos inteligentes en lugar de la Ethereum Virtual Machine, por lo que los puentes que lo conectan con cadenas EVM como BSC deben verificar mensajes entre estándares de ejecución y criptográficos diferentes. Cuando la tesorería de un puente es accedida sin autorización, todos los activos bloqueados en ambos lados del puente enfrentan una posible exposición hasta que la vulnerabilidad sea parchada y verificada de forma independiente.
La estructura de cinco pagos observada en este incidente sugiere que el atacante realizó múltiples retiros discretos en lugar de un único drenaje atómico, un patrón que puede indicar comportamiento de sondeo o una falla en el contrato inteligente con límites de frecuencia.
El ecosistema más amplio de NEAR ha estado expandiendo su superficie cross-chain, añadiendo recientemente infraestructura de activos post-cuánticos en múltiples cadenas con el lanzamiento de Quantus (QTC). Cada puente o primitiva cross-chain adicional aumenta la superficie de ataque que servicios de monitoreo de seguridad como CertiK deben cubrir. La alerta no mencionó ningún comunicado del equipo de HOT Protocol ni de la NE Foundation, por lo que los usuarios que tenían activos en HOT Omni Bridge alrededor del 30 de septiembre deben verificar el estado actual de sus saldos y estar atentos a una divulgación oficial del incidente por parte de esos equipos.
La devolución de los fondos no confirma que los contratos inteligentes del puente sean seguros. En varios incidentes históricos con puentes, los fondos fueron devueltos tras intervenciones de whitehats o divulgaciones negociadas mientras la vulnerabilidad subyacente permaneció sin parche durante días. El exploit de Poly Network de agosto de 2021, en el que se drenaron aproximadamente $611 millones y la mayoría de los fondos fueron devueltos posteriormente, sigue siendo un precedente frecuentemente citado de un resultado negociado. Hasta que el equipo del puente publique un post-mortem formal o CertiK revele su análisis completo, la causa raíz del exploit, las direcciones de contratos afectadas y el estado de seguridad actual del puente siguen siendo preguntas abiertas.
Qué seguir a medida que surjan detalles verificados
La publicación de CertiKAlert enlaza a un reporte de análisis completo de CertiK, así como al Security Dashboard de CertiK. Los lectores deben monitorear el reporte para conocer la clase específica de vulnerabilidad, como una omisión de verificación de firmas, reentrancia o manipulación de oráculos, junto con los hashes de transacciones confirmados en ambos lados, NE y BSC, y si el puente ha sido pausado o parchado. Un comunicado oficial del equipo de HOT Protocol que revele si la devolución fue negociada o forzada por gobernanza on-chain cambiaría materialmente la evaluación de riesgo.
Entre las preguntas clave sin resolver se incluyen si HOT Omni Bridge sigue operativo, si algún fondo de usuarios más allá de los pagos de tesorería estuvo en riesgo, y si las cinco direcciones de tesorería en BSC involucradas han sido identificadas públicamente. La seguridad de los puentes cross-chain sigue siendo una preocupación constante en todo el stack de DeFi, como lo ilustran incidentes comparables que involucran puentes que conectan cadenas EVM y no EVM, incluido el exploit de Wormhole de febrero de 2022 en la ruta Solana–Ethereum y la brecha del Ronin Bridge de marzo de 2022, con pérdidas de aproximadamente $325 millones y $624 millones, respectivamente. La infraestructura de puentes del lado de BSC también ha sido atacada antes: en octubre de 2022, una falla de verificación de pruebas en el BNB Bridge permitió la acuñación no autorizada de aproximadamente $570 millones en BNB y provocó una pausa temporal de BNB Chain. Esfuerzos paralelos de la industria, como el desarrollo de adaptadores de bóveda de Chainlink CCIP para depósitos cross-chain en un clic, reflejan un impulso más amplio por estandarizar y reforzar la seguridad de la capa de puentes.
