NEAR 上的 HOT Omni Bridge 遭攻擊:CertiKAlert 報告稱 386 萬美元 BSC 國庫支出其後已歸還
重點速覽
- •CertiK 的 CertiKAlert 監測服務確認 NEAR 上的 HOT Omni Bridge 為遭攻擊的協議,並記錄到 9 月 30 日共有五筆經由 BNB Smart Chain 國庫地址支付的款項。
- •觀察到的 BSC 端流出資金總額達 386 萬美元,但 CertiKAlert 報告指出該筆資金其後已被歸還。
- •公開警報並未披露資金歸還的方式、攻擊手法或攻擊者身分,也未包含任何交易雜湊值或錢包地址。
- •五筆支付的模式顯示攻擊者進行了多次離散提款,而非單次原子式資金抽乾,此結構可能代表探測行為,或合約存在受速率限制的缺陷。
- •HOT Protocol 團隊與 NEAR Foundation 均未發表官方聲明,根本原因與該橋目前的安全狀態仍未獲證實。
部署於 NEAR Protocol 的跨鏈橋 HOT Omni Bridge 於 9 月 30 日遭攻擊,據 10 月 9 日發布的 CertiKAlert 報告,共有五筆自 BSC 國庫地址支付、總額 386 萬美元的資金流出。區塊鏈審計公司 CertiK 的鏈上安全監測部門指出,遭竊資金隨後已被歸還,惟公開警報中攻擊手法與攻擊者身分仍未獲證實。
CertiKAlert 報告確認了什麼
CertiKAlert 在其 #CertiKInsight 分類下標記了該事件,並確認 HOT Omni Bridge 為遭攻擊的協議。這五筆支付均經由 BNB Smart Chain(BSC)國庫地址轉出,此資金路徑顯示攻擊向量可能涉及該橋在 NEAR 與 BSC 之間的跨鏈訊息層或流動性層。
386 萬美元的數字代表五筆已觀察到的 BSC 端流出資金總和。CertiKAlert 表示該筆資金其後已歸還,這一細節使該事件有別於典型的不可逆橋樑資金抽乾,但並未釐清歸還屬自願、被迫,或為鏈上追回機制的結果。公開警報並未說明資金歸還的時間與方式,也未包含任何交易雜湊值或錢包地址。
On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.
Read our full analysis here👇
CertiK Report Security Dashboard 👇
資料來源:X 上的 @CertiKAlert
對 NEAR 橋樑用戶的風險影響
橋樑攻擊在多鏈 DeFi 中帶來格外突出的系統性風險,因為橋樑位於兩個獨立執行環境之間的信任邊界上,在一條網路上鎖定資產,並在另一條網路上釋放或鑄造對應資產。NEAR 採用自身的智能合約運行時,而非以太坊虛擬機,因此將其連接至 BSC 等 EVM 鏈的橋樑,必須在不同執行與密碼學標準之間驗證訊息。當橋樑國庫在未經授權的情下被存取時,在漏洞修補並經獨立驗證之前,橋樑兩側鎖定的所有資產均面臨潛在曝險。
本次事件呈現的五筆支付結構顯示,攻擊者進行了多次離散的提款,而非單次原子式資金抽乾,此模式可能代表探測行為,或合約存在受速率限制的缺陷。
NEAR 更廣泛的生態系一直在擴展其跨鏈版圖,近期隨 Quantus(QTC)的推出,在多條鏈上新增了後量子資產基礎設施。每一座新增的橋樑或跨鏈組件,都會擴大 CertiK 等安全監測服務所需覆蓋的攻擊面。警報中並未提及 HOT Protocol 團隊或 NEAR Foundation 的任何聲明,因此凡於 9 月 30 日前後在 HOT Omni Bridge 持有資產的用戶,應核實其目前的餘額狀態,並留意這些團隊是否發布正式的事件披露。
資金歸還並不能證明該橋的智能合約是安全的。在多起歷史橋樑事件中,資金曾在白帽介入或協商披露後歸還,但底層漏洞在數天內仍未修補。Poly Network 於 2021 年 8 月遭攻擊、約 6.11 億美元被轉走而大部分資金隨後歸還的事件,仍是協商式結果最常被引用的先例。在橋樑團隊公布正式事後報告,或 CertiK 發布完整分析之前,攻擊的根本原因、受影響的合約地址,以及該橋目前的安全狀態,均屬未解疑問。
在經證實細節陸續浮現時應追蹤的重點
CertiKAlert 的貼文連結至 CertiK 的完整分析報告,以及 CertiK 的 Security Dashboard。讀者應留意報告中所述的具體漏洞類別(例如簽章驗證繞過、重入攻擊或預言機操縱)、NEAR 與 BSC 兩端經證實的交易雜湊值,以及該橋是否已暫停或修補。HOT Protocol 團隊若發表官方聲明,說明資金歸還屬協商結果或被鏈上治理機制強制執行,將實質改變風險評估。
關鍵未解疑問包括:HOT Omni Bridge 是否仍在運作、國庫支付之外是否有任何用戶資金面臨風險,以及涉案的五個 BSC 國庫地址是否已被公開識別。跨鏈橋安全仍是整個 DeFi 技術棧持續關注的議題,連接 EVM 與非 EVM 鏈的橋樑所發生的類似事件即為例證,包括 Wormhole 於 2022 年 2 月在 Solana–Ethereum 路線上遭攻擊,以及 2022 年 3 月的 Ronin Bridge 入侵事件,損失分別約為 3.25 億美元與 6.24 億美元。BSC 端的橋樑基礎設施過去也曾遭鎖定:2022 年 10 月,BNB Bridge 的證明驗證缺陷導致約 5.7 億美元的 BNB 遭未經授權鑄造,並促使 BNB Chain 暫時停機。Chainlink CCIP 金庫轉接器等支援一鍵跨鏈存款的平行產業發展,則反映了整個業界在標準化並強化橋樑層安全上的更大努力。
