HOT Omni Bridge op NEAR aangevallen: $3,86 miljoen aan BSC treasury-uitbetalingen later teruggegeven, meldt CertiKAlert
Belangrijkste punten
- •De monitoringsdienst CertiKAlert van CertiK identificeerde HOT Omni Bridge op NEAR als het aangevallen protocol en registreerde op 30 september vijf uitbetalingen via treasury-adressen op de BNB Smart Chain.
- •De totale waarde van de waargenomen uitstromen aan BSC-kant bedroeg $3,86 miljoen, hoewel CertiKAlert meldde dat de fondsen later zijn teruggegeven.
- •De openbare waarschuwing vermeldde niet hoe de fondsen werden teruggegeven, de werkwijze van de aanval of de identiteit van de aanvaller, en bevatte geen transactiehashes of walletadressen.
- •Het patroon van vijf uitbetalingen wijst op meerdere afzonderlijke opnames in plaats van één atomaire drain, een structuur die kan duiden op verkennend gedrag of een smart contract-fout met rate limiting.
- •Noch het HOT Protocol-team noch de NEAR Foundation heeft een officiële verklaring uitgegeven, waardoor de hoofdoorzaak en de huidige beveiligingsstatus van de bridge onbevestigd blijven.
HOT Omni Bridge, een cross-chain bridge op het NEAR Protocol, werd op 30 september aangevallen, wat resulteerde in vijf uitbetalingen vanuit BSC treasury-adressen met een totaal van $3,86 miljoen, aldus een CertiKAlert-rapport dat op 9 oktober werd gepubliceerd. De on-chain securitymonitoringtak van blockchainauditor CertiK meldde dat de aangevallen fondsen nadien zijn teruggegeven, al blijven de werkwijze van de aanval en de identiteit van de aanvaller onbevestigd in de openbare waarschuwing.
Wat het CertiKAlert-rapport bevestigt
CertiKAlert markeerde het incident onder de #CertiKInsight-classificatie en identificeerde HOT Omni Bridge als het aangevallen protocol. De vijf uitbetalingen werden via treasury-adressen op de BNB Smart Chain (BSC) geleid, een patroon dat suggereert dat de aanvalsvector de cross-chain messaging- of liquiditeitslaag van de bridge tussen NEAR en BSC betrof.
Het bedrag van $3,86 miljoen vertegenwoordigt het totaal van de vijf waargenomen uitstromen aan BSC-kant. CertiKAlert verklaarde dat het bedrag later werd teruggegeven, een detail dat het incident onderscheidt van een gebruikelijke onomkeerbare bridge-drain, maar niet verheldert of de teruggave vrijwillig gebeurde, onder druk plaatsvond of het resultaat was van on-chain recoverymechanismen. De openbare waarschuwing vermeldde niet wanneer of hoe de fondsen werden teruggegeven en bevatte geen transactiehashes of walletadressen.
On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.
Read our full analysis here👇
CertiK Report Security Dashboard 👇
Bron: @CertiKAlert on X
Risico-implicaties voor gebruikers van NEAR-bridges
Aanvallen op bridges vormen een bovenmatig systemisch risico in multi-chain DeFi, omdat bridges op de vertrouwensgrens zitten tussen twee afzonderlijke executieomgevingen: ze vergrendelen activa op het ene netwerk terwijl ze corresponderende activa op het andere vrijgeven of minten. NEAR draait een eigen smart contract-runtime in plaats van de Ethereum Virtual Machine, dus bridges die het verbinden met EVM-chains zoals BSC moeten berichten verifiëren over uiteenlopende executie- en cryptografische standaarden heen. Wanneer de treasury van een bridge zonder autorisatie wordt benaderd, lopen alle vergrendelde activa aan beide kanten van de bridge potentiële blootstelling op totdat het lek is gedicht en onafhankelijk geverifieerd.
De structuur van vijf uitbetalingen die in dit incident werd waargenomen, suggereert dat de aanvaller meerdere afzonderlijke opnames deed in plaats van één atomaire drain, een patroon dat kan wijzen op verkennend gedrag of een smart contract-fout met rate limiting.
Het bredere NEAR-ecosysteem breidt zijn cross-chain oppervlak uit en voegde onlangs post-quantum asset-infrastructuur toe over meerdere chains met de lancering van Quantus (QTC). Elke extra bridge of cross-chain primitief vergroot het aanvalsoppervlak dat securitymonitoringsdiensten zoals CertiK moeten dekken. In de waarschuwing werd geen verklaring van het HOT Protocol-team of de NEAR Foundation aangehaald, dus gebruikers die rond 30 september activa op HOT Omni Bridge aanhielden, moeten hun huidige balans verifiëren en een officiële incidentmelding van die teams afwachten.
De teruggave van de fondsen bevestigt niet dat de smart contracts van de bridge veilig zijn. In verschillende historische bridge-incidenten fondsen teruggegeven na tussenkomst van whitehats of onderhandelde openbaarmaking, terwijl de onderliggende kwetsbaarheid dagenlang ongepatcht bleef. De aanval op Poly Network in augustus 2021, waarbij circa $611 miljoen werd buitgemaakt en het merendeel van de fondsen nadien werd teruggegeven, blijft een vaak aangehaald precedent voor een onderhandelde afloop. Tot het bridgeteam een formele post-mortem publiceert of CertiK's volledige analyse vrijgeeft, blijven de hoofdoorzaak van de aanval, de betrokken contractadressen en de huidige beveiligingsstatus van de bridge open vragen.
Wat te volgen naarmate geverifieerde details beschikbaar komen
De CertiKAlert-post verwijst naar een volledig analyseverslag van CertiK, evenals naar CertiK's Security Dashboard. Lezers moeten dat rapport volgen voor de specifieke kwetsbaarheidsklasse, zoals een omzeiling van handtekeningverificatie, reentrancy of orakelmanipulatie, naast de bevestigde transactiehashes aan zowel de NEAR- als de BSC-kant en de vraag of de bridge is gepauzeerd of gepatcht. Een officiële verklaring van het HOT Protocol-team over of de teruggave werd onderhandeld of werd afgedwongen via on-chain governance zou de risicobeoordeling wezenlijk veranderen.
Belangrijke onopgeloste vragen zijn onder meer of HOT Omni Bridge nog operationeel is, of gebruikersfondsen buiten de treasury-uitbetalingen risico liepen en of de vijf betrokken BSC treasury-adressen publiek zijn geïdentificeerd. Cross-chain bridgebeveiliging blijft een doorlopende zorg binnen de hele DeFi-stack, zoals blijkt uit vergelijkbare incidenten met bridges die EVM- en niet-EVM-chains verbinden, waaronder de aanval op Wormhole in februari 2022 op de Solana–Ethereum-route en de inbreuk op de Ronin Bridge in maart 2022, met verliezen van respectievelijk circa $325 miljoen en $624 miljoen. Ook bridge-infrastructuur aan BSC-kant is eerder aangevallen: in oktober 2022 maakte een fout in proof-verificatie in de BNB Bridge het ongeautoriseerd minten van circa $570 miljoen aan BNB mogelijk en lede dat tot een tijdelijke stillegging van BNB Chain. Parallelle branche-initiatieven, zoals de ontwikkeling van Chainlink CCIP vault-adapters voor cross-chain deposito's met één klik, weerspiegelen een bredere inspanning om bridgebeveiliging te standaardiseren en te versterken.
