HOT Omni Bridge, most międzyłańcuchowy działający w ramach NEAR Protocol, został wykorzystany 30 września, co skutkowało pięcioma wypłatami z adresów trezora BSC o łącznej wartości 3,86 mln USD — według raportu CertiKAlert opublikowanego 9 października. On-chainowe ramię monitorujące auditora blockchain CertiK zauważyło, że wykorzystane środki zostały następnie zwrócone, choć w publicznym alercie pozostają niepotwierdzone zarówno mechanika ataku, jak i tożsamość atakującego.

Co potwierdza raport CertiKAlert

CertiKAlert oznaczył incydent w ramach klasyfikacji #CertiKInsight, wskazując HOT Omni Bridge jako wykorzystany protokół. Pięć wypłat zostało skierowanych przez adresy trezora BNB Smart Chain (BSC) — schemat sugerujący, że wektor ataku dotyczył warstwy przesyłania wiadomości międzyłańcuchowych lub warstwy płynności mostu między NEAR a BSC.

Kwota 3,86 mln USD stanowi zagregowaną wartość pięciu zaobserwowanych wypływów po stronie BSC. CertiKAlert poinformował, że środki zostały później zwrócone — szczegół odróżniający ten incydent od typowego, nieodwracalnego opróżnienia mostu, ale niewyjaśniający, czy zwrot był dobrowolny, wymuszony, czy wynikał z on-chainowych mechanizmów odzysku. Publiczny alert nie określił, kiedy ani jak środki zostały zwrócone, i nie zawierał skrótów transakcji ani adresów portfeli.

#CertiKInsight 🚨

On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.

Read our full analysis here👇

CertiK Report Security Dashboard 👇

— CertiK Alert (@CertiKAlert) October 9, 2026

Źródło: @CertiKAlert on X

Implikacje ryzyka dla użytkowników mostów w NEAR

Ataki na mosty niosą nadmierne ryzyko systemowe w DeFi wielu łańcuchów, ponieważ mosty znajdują się na granicy zaufania między dwoma oddzielnymi środowiskami wykonawczymi — blokują akwa w jednej sieci, uwalniając lub emitując odpowiadające im aktywa w drugiej. NEAR uruchamia własne środowisko uruchomieniowe inteligentnych kontraktów, a nie maszynę wirtualną Ethereum, więc mosty łączące go z łańcuchami EVM, takimi jak BSC, muszą weryfikować wiadomości zgodnie z odmiennymi standardami wykonawczymi i kryptograficznymi. Gdy trezor mostu zostaje uzyskany bez autoryzacji, wszystkie zablokowane aktywa po obu stronach mostu pozostają potencjalnie narażone do czasu załatania podatności i jej niezależnej weryfikacji.

Struktura pięciu wypłat zaobserwowana w tym incydencie wskazuje, że atakujący dokonał wielu oddzielnych wypłat, a nie pojedynczego atomowego opróżnienia — wzór, który może sugerować zachowanie typu probing lub podatność ograniczającą częstotliwość w inteligentnym kontrakcie.

Szerszy ekosystem NEAR rozszerza swoją międzyłańcuchową powierzchnię, dodając niedawno infrastrukturę aktywów postkwantowych na wielu łańcuchach wraz z uruchomieniem Quantus (QTC). Każdy dodatkowy most lub prymityw międzyłańcuchowy zwiększa powierzchnię ataku, którą muszą obejmować usługi monitorowania bezpieczeństwa, takie jak CertiK. Alert nie zawierał odniesienia do oświadczenia zespołu HOT Protocol ani NEAR Foundation, więc użytkownicy, którzy około 30 września posiadali aktywa na HOT Omni Bridge, powinni zweryfikować aktualny stan swoich sald i śledzić oficjalne informacje o incydencie od tych zespołów.

Zwrot środków nie potwierdza, że inteligentne kontrakty mostu są bezpieczne. W kilku historycznych incydentach dotyczących mostów środki były zwracane po interwencjach whitehatów lub uzgodnionym ujawnieniu, podczas gdy podstawowa podatność pozostawała niezałatana przez dni. Wykorzystanie Poly Network z sierpnia 2021 roku, w którym wypłynęło około 611 mln USD, a większość środków została następnie zwrócona, pozostaje często przywoływanym precedensem uzgodnionego rozwiązania. Do czasu publikacji formalnego raportu pokontrolnego przez zespół mostu lub pełnej analizy CertiK przyczyna źródłowa wykorzystania, dotknięte adresy kontraktów oraz aktualny status bezpieczeństwa mostu pozostają kwestiami otwartymi.

Czego śledzić, gdy pojawią się zweryfikowane szczegóły

Wpis CertiKAlert zawiera link do pełnego raportu analizy CertiK oraz do Security Dashboard firmy CertiK. Czytelnicy powinni śledzić raport pod kątem konkretnej klasy podatności, takiej jak obejście weryfikacji podpisu, reentrancja czy manipulacja wyrocznią, a także potwierdzonych skrótów transakcji po obu stronach — NEAR i BSC — oraz informacji, czy most został wstrzymany lub załatany. Oficjalne oświadczenie zespołu HOT Protocol wyjaśniające, czy zwrot został uzgodniony, czy wymuszony przez on-chainowe zarządzanie, istotnie zmieniłoby ocenę ryzyka.

Kluczowe niewyjaśnione kwestie obejmują: czy HOT Omni Bridge pozostaje operacyjny, czy jakiekolwiek środki użytkowników poza wypłatami z treora były zagrożone oraz czy pięć zaangażowanych adresów trezora BSC zostało publicznie zidentyfikowanych. Bezpieczeństwo mostów międzyłańcuchowych pozostaje stałym zmartwieniem w całym stosie DeFi, co ilustrują porównywalne incydenty z udziałem mostów łączących łańcuchy EVM i nie-EVM, w tym wykorzystanie Wormhole z lutego 2022 roku na trasie Solana–Ethereum oraz naruszenie Ronin Bridge z marca 2022 roku, ze stratami wynoszącymi odpowiednio około 325 mln USD i 624 mln USD. Infrastruktura mostów po stronie BSC również była wcześniej celem ataków: w październiku 2022 roku wada weryfikacji dowodów w BNB Bridge umożliwiła nieautoryzowane wyemitowanie około 570 mln USD w BNB i doprowadziła do tymczasowego wstrzymania BNB Chain. Równoległe inicjatywy branżowe, takie jak rozwój adapterów vault Chainlink CCIP umożliwiających międzyłańcuchowe depozyty jednym kliknięciem, odzwierciedlają szerszy wysiłek branży na rzecz standaryzacji i wzmocnienia bezpieczeństwa warstwy mostów.