NEAR Intents ontvangt volledige gestolen $3,8 miljoen terug na 48-uurs ultimatum aan aanvaller
Belangrijkste punten
- •NEAR Intents heeft de volledige $3,8 miljoen teruggekregen die donderdag werd gestolen tijdens een beveiligingsinbreuk, nadat de aanvaller was geïdentificeerd en een 48-uurs ultimatum had gekregen om de fondsen terug te betalen.
- •De aanval kwam voort uit een bug in de interactie tussen de Omni-stortings- en opname-infrastructuur van het protocol en de smart contracts, wat donderdag tot het opschorten van de diensten leidde.
- •Algemeen directeur Alex Shevchenko kondigde aan dat de fondsen volledig waren terugbetaald, dat het onderzoek werd stopgezet, en riep aanvallers op om in plaats daarvan bug bounty-programma's te gebruiken.
- •Blockchain-onderzoeker ZachXBT had vóór de terugvordering gemeld dat de gestolen assets naar de KuCoin-beurs waren overgebracht en naar Bitcoin waren gebrugd.
- •De aanpak van responsible disclosure gaf de geïdentificeerde aanvaller een bepaalde periode om de fondsen terug te betalen en de benutte kwetsbaarheid te onthullen, waarbij het team volledige compensatie aan getroffen gebruikers beloofde.
NEAR Intents heeft de volledige $3,8 miljoen teruggekregen die donderdag werd gestolen tijdens een inbreuk op de beveiliging, nadat de aanvaller was geïdentificeerd en 48 uur had gekregen om de fondsen terug te betalen.
Het incident speelde zich af over roughly twee dagen: donderdag werden de diensten opgeschort nadat de bug was ontdekt, vrijdag werd de aanvaller geïdentificeerd en gewaarschuwd, en later diezelfde dag werd het volledige bedrag terugbetaald.
Zoals vrijdag gemeld door Cointelegraph, had het protocol de persoon achter de inbreuk geïdentificeerd en een ultimatum van 48 uur gesteld voor het terugbetalen van de fondsen onder "responsible disclosure" — een aanpak die een geïdentificeerde aanvaller een bepaalde periode geeft om de fondsen terug te betalen en de benutte kwetsbaarheid te onthullen.
"De fondsen van de $3,8M NEAR Intents-hack zijn volledig terugbetaald," schreef algemeen directeur van NEAR Intents Alex Shevchenko op X. "We stoppen het onderzoek. Gebruik in plaats daarvan bug bounty's in plaats van de diensten te verstoren."
De boodschap wees op bug bounty-programma's — lopende aanbiedingen die securityonderzoekers betalen voor het verantwoord melden van fouten — als het kanaal dat het team potentiële aanvallers wil laten gebruiken.
Wat er gebeurde
NEAR Intents schortte zijn diensten op nadat het een "bug in de interactie tussen de Omni-stortings- en opname-infrastructuur en smart contracts van NEAR Intents" had ontdekt.
De foutieve interactie ligt aan de kern van hoe het protocol werkt: NEAR Intents is een cross-chain intents-protocol waarmee gebruikers assets kunnen verhandelen over verschillende blockchains, dus het deposit- en withdrawal-pad dat de infrastructuur met de smart contracts verbindt, is essentieel voor het verplaatsen van gebruikersfondsen.
NEAR's voorlopig onderzoek stelde vast dat $3,8 miljoen aan gebruikersfondsen was gestolen, en het team beloofde de getroffen gebruikers volledig te compenseren.
Voordat de fondsen werden terugbetaald, meldde blockchain-onderzoeker ZachXBT dat de gestolen assets waren overgebracht naar de KuCoin-beurs en gebrugd naar Bitcoin. Toch kwam het volledige bedrag binnen de ultimatumtermijn terug, waardoor de getroffen gebruikers schadeloos zijn gesteld.
Gerelateerd: NEAR Intents zegt de hacker te hebben geïdentificeerd, stelt 48-uurs ultimatum
Het team heeft het onderzoek inmiddels afgerond na de volledige terugvordering van de gebruikersfondsen. Nu dit hoofdstuk is gesloten, zou meer duidelijkheid van NEAR Intents over de onderliggende bug en eventuele updates van het bounty-programma laten zien hoe het protocol invulling geeft aan Shevchenko's oproep.
