NEAR 上的 HOT Omni Bridge 遭攻击：CertiKAlert 报告称 386 万美元 BSC 金库流出资金已归还
要点速览
- •CertiK 旗下的 CertiKAlert 监测服务将 NEAR 上的 HOT Omni 确定为受攻击的协议，并记录到 9 月 30 日通过 BNB Smart Chain 金库地址发生的五笔付款。
- •观察到的 BSC 侧流出资金总额达 386 万美元，但 CertiKAlert 报告称这些资金随后已被归还。
- •公开警报未披露资金如何归还、攻击机制或攻击者身份，也未包含任何交易哈希或钱包地址。
- •五笔付款的模式表明存在多次离散提款而非单次原子性抽干，这种结构可能暗示探测行为或受频率限制的合约缺陷。
- •HOT Protocol 团队和 NEAR Foundation 均未发布官方披露，攻击的根本原因和该桥当前的安全状态仍未得到确认。
根据 CertiKAlert 于 10 月 9 日发布的报告，NEAR Protocol 上的跨链桥 HOT Omni Bridge 于 9 月 30 日遭到攻击，导致 BSC 金库地址发生五笔付款，总额达 386 万美元。区块链审计机构 CertiK 的链上安全监测部门 CertiKAlert 指出，遭攻击的资金随后已被归还，但公开警报未确认攻击的具体机制以及攻击者的身份。
CertiKAlert 报告确认了什么
CertiKAlert 在其 #CertiKInsight 分类下标记了该事件，并将 HOT Omni Bridge 确定为受攻击的协议。这五笔付款均通过 BNB Smart Chain（BSC）金库地址流转，这一路由模式表明攻击向量涉及该桥在 NEAR 与 BSC 之间的跨链消息层或流动性层。
386 万美元的数字是观察到的五笔 BSC 侧流出资金的总和。CertiKAlert 表示，该笔资金随后已被归还；这一细节使该事件区别于典型的不可逆桥资金被抽干事件，但无法确定归还行为是自愿的、被迫的，还是链上恢复机制的结果。公开警报未说明资金何时以及如何被归还，也未包含任何交易哈希或钱包地址。
On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.
Read our full analysis here👇
CertiK Report Security Dashboard 👇
对 NEAR 桥用户的风险影响
桥类攻击在多链 DeFi 中带来不成比例的系统性风险，因为跨链桥处于两个独立执行环境之间的信任边界，在一个网络上锁定资产，同时在另一个网络上释放或铸造对应资产。NEAR 运行自己的智能合约运行时而非以太坊虚拟机，因此将其与 BSC 等 EVM 链连接的桥必须在不同的执行与密码学标准之间验证消息。当桥的金库被未经授权访问时，在漏洞被修补并经独立验证之前，桥两侧锁定的所有资产都面临潜在的暴露风险。
本次事件中观察到的五笔付款结构表明，攻击者进行了多次离散提款，而非单次原子性抽干资金，这种模式可能意味着探测行为或受频率限制的智能合约缺陷。
NEAR 更广泛的生态一直在扩展其跨链覆盖范围，随着 Quantus（QTC）的推出，最近在多条链上增加了抗量子资产基础设施。每增加一条桥或跨链原语，都会扩大 CertiK 等安全监测服务需要覆盖的攻击面。警报中未引用 HOT Protocol 团队或 NEAR Foundation 的任何声明，因此在 9 月 30 日前后持有 HOT Omni Bridge 资产的用户应核实其当前余额状态，并留意这些团队的官方事件披露。
资金的归还并不能确认该桥的智能合约是安全的。在历史上多起桥类事件中，资金是在白帽介入或协商披露后归还的，而底层漏洞在数天内仍未修补。Poly Network 2021 年 8 月遭攻击事件中，约 6.11 亿美元被抽走，随后大部分资金被归还，这一事件至今仍是协商解决结果的常被引用的先例。在该桥团队发布正式事后分析或 CertiK 发布完整分析之前，攻击的根本原因、受影响的合约地址以及该桥当前的安全状态都仍是未解问题。
随着经过验证的细节浮出水面，需要关注什么
CertiKAlert 的帖子链接了 CertiK 的完整分析报告以及 CertiK 的安全仪表盘。读者应关注报告中针对具体漏洞类别的说明（例如签名验证绕过、重入攻击或预言机操纵）、NEAR 和 BSC 两侧已确认的交易哈希，以及该桥是否已暂停或已修补。如果 HOT Protocol 团队发布官方声明，说明资金归还是协商达成还是由链上治理强制执行，将实质性改变风险评估。
关键的未解问题包括：HOT Omni Bridge 是否仍在运行、除金库付款之外是否有任何用户资金面临风险，以及所涉及的五个 BSC 金库地址是否已被公开识别。跨链桥安全仍是整个 DeFi 技术栈中持续存在的隐忧，连接 EVM 与非 EVM 链的桥所发生的类似事件即是例证，包括 Wormhole 2022 年 2 月在 Solana–Ethereum 路由上遭攻击以及 2022 年 3 月 Ronin Bridge 被攻破，损失分别约为 3.25 亿美元和 6.24 亿美元。BSC 侧的桥基础设施此前也曾遭到攻击：2022 年 10 月，BNB Bridge 的证明验证缺陷导致约 5.7 亿美元的 BNB 被未经授权铸造，并促使 BNB Chain 暂时停机。与此同时，Chainlink CCIP 金库适配器等支持一键跨链存款的开发工作，反映出业界在标准化和强化桥层安全方面更广泛的努力。
