HOT Omni Bridge, un bridge cross-chain operante sul Protocollo NEAR, è stato sfruttato il 30 settembre, con cinque payout da indirizzi di tesoreria BSC per un totale di 3,86 milioni di dollari, secondo un rapporto CertiKAlert pubblicato il 9 ottobre. Il braccio di monitoraggio della sicurezza on-chain dell'auditor blockchain CertiK ha rilevato che i fondi sfruttati sono stati successivamente restituiti, anche se le dinamiche dell'attacco e l'identità dell'attaccante restano non confermate nell'allerta pubblica.

Cosa conferma il rapporto CertiKAlert sull'exploit di HOT Omni Bridge

CertiKAlert ha segnalato l'incidente sotto la propria classificazione #CertiKInsight, identificando HOT Omni Bridge come il protocollo sfruttato. I cinque payout sono stati instradati attraverso indirizzi di tesoreria su BNB Smart Chain (BSC), uno schema che suggerisce che il vettore d'attacco abbia coinvolto il layer di messaggistica cross-chain o di liquidità del bridge tra NEAR e BSC.

La cifra di 3,86 milioni di dollari rappresenta l'aggregato dei cinque deflussi osservati sul lato BSC. CertiKAlert ha dichiarato che l'importo è stato successivamente restituito, un dettaglio che distingue l'incidente da un tipico svuotamento irreversibile di un bridge, ma non chiarisce se la restituzione sia stata volontaria, forzata o il risultato di meccanismi di recupero on-chain. L'allerta pubblica non ha specificato quando o come i fondi siano stati restituiti, e non includeva hash di transazione né indirizzi wallet.

#CertiKInsight 🚨

On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.

Read our full analysis here👇

CertiK Report Security Dashboard 👇

— CertiK Alert (@CertiKAlert) October 9, 2026

Fonte: @CertiKAlert on X

Implicazioni di rischio per gli utenti dei bridge su NEAR

Gli exploit dei bridge comportano un rischio sistemico sproporzionato nella DeFi multichain, poiché i bridge si trovano al confine di fiducia tra due ambienti di esecuzione distinti, bloccando asset su una rete mentre rilasciano o mintano gli asset corrispondenti su un'altra. NEAR esegue il proprio runtime di smart contract anziché la Ethereum Virtual Machine, quindi i bridge che la collegano a catene EVM come BSC devono verificare i messaggi tra standard di esecuzione e crittografici differenti. Quando la tesoreria di un bridge viene accesso senza autorizzazione, tutti gli asset bloccati su entrambi i lati del bridge sono esposti a un potenziale rischio finché la vulnerabilità non viene corretta e verificata in modo indipendente.

La struttura a cinque payout osservata in questo incidente suggerisce che l'attaccante abbia effettuato più prelievi distinti anziché un singolo svuotamento atomico, uno schema che può indicare un comportamento di esplorazione o un difetto contrattuale limitato da rate limit.

L'ecosistema di NEAR ha ampliato la propria superficie cross-chain, aggiungendo di recente infrastrutture per asset post-quantistici su più catene con il lancio di Quantus (QTC). Ogni bridge o primitiva cross-chain aggiuntiva accresce la superficie d'attacco che servizi di monitoraggio della sicurezza come CertiK devono coprire. Nell'allerta non è stata citata alcuna dichiarazione del team di HOT Protocol o della NEAR Foundation, quindi gli utenti che detenevano asset su HOT Omni Bridge intorno al 30 settembre dovrebbero verificare lo stato attuale dei propri saldi e monitorare l'eventuale comunicazione ufficiale sull'incidente da parte di questi team.

La restituzione dei fondi non conferma che gli smart contract del bridge siano sicuri. In diversi incidenti storici riguardanti bridge, i fondi sono stati restituiti dopo interventi di whitehat o divulgazioni negoziate, mentre la vulnerabilità sottostante è rimasta senza correzione per giorni. L'exploit di Poly Network dell'agosto 2021, in cui circa 611 milioni di dollari furono prosciugati e la maggior parte dei fondi fu successivamente restituita, resta un precedente frequentemente citato per un esito negoziato. Finché il team del bridge non pubblicherà un post-mortem formale o CertiK non rilascerà la propria analisi completa, la causa principale dell'exploit, gli indirizzi dei contratti coinvolti e l'attuale stato di sicurezza del bridge restano tutti questioni aperte.

Cosa monitorare man mano che emergono dettagli verificati

Il post di CertiKAlert rimanda a un rapporto completo di analisi di CertiK, nonché alla Security Dashboard di CertiK. I lettori dovrebbero monitorare il rapporto per la classe specifica di vulnerabilità, come un bypass della verifica delle firme, una reentrancy o una manipolazione dell'oracle, insieme agli hash di transazione confermati sia sul lato NEAR sia su quello BSC e a informazioni su eventuale sospensione o correzione del bridge. Una dichiarazione ufficiale del team di HOT Protocol che chiarisca se la restituzione sia stata negoziata o forzata dalla governance on-chain modificherebbe in modo sostanziale la valutazione del rischio.

Le questioni irrisolte chiave includono se HOT Omni Bridge rimanga operativo, se fondi di utenti oltre ai payout di tesoreria siano stati a rischio e se i cinque indirizzi di tesoreria BSC coinvolti siano stati resi pubblici. La sicurezza dei bridge cross-chain resta una preoccupazione costante in tutto lo stack DeFi, come illustrato da incidenti comparabili riguardanti bridge che collegano catene EVM e non-EVM, tra cui l'exploit di Wormhole di febbraio 2022 sulla rotta Solana–Ethereum e la violazione del Ronin Bridge di marzo 2022, con perdite di circa 325 milioni e 624 milioni di dollari rispettivamente. Anche l'infrastruttura dei bridge sul lato BSC è stata presa di mira in passato: nell'ottobre 2022, un difetto di verifica delle prove nel BNB Bridge ha consentito il mint non autorizzato di circa 570 milioni di dollari in BNB e ha provocato una sospensione temporanea di BNB Chain. Sforzi paralleli del settore, come lo sviluppo degli adapter vault Chainlink CCIP per depositi cross-chain in un clic, riflettono un' spinta più ampia a standardizzare e rafforzare la sicurezza a livello di bridge.