NEAR Intents Genel Müdürü Alex Shevchenko, 3,8 milyon dolarlık saldırının token yatırma bildirimlerindeki hatadan kaynaklandığını açıkladı. 16 Ekim’de yayımlanan olay raporunda, saldırganın 23 başarısız yatırma işlemiyle sözleşmede karşılığı bulunmayan bakiye oluşturduğu belirtildi.
Saldırı 29 Eylül–1 Ekim döneminde gerçekleşmişti. Rapora göre çalınan fonların tamamı, sorunun tespit edilmesinden sonraki 36 saat içinde geri alındı ve etkilenen kullanıcıların zararları karşılandı.
İade Edilen Tokenlar Bakiyeden Düşülmedi
Shevchenko’nun raporuna göre saldırgan, yatırma sırasında kendisine gönderilen bildirimi kasıtlı olarak başarısız kılan bir sözleşme kurdu. Token sözleşmesi bu durumda yatırılan varlıkları geri gönderirken NEAR Intents’in iç kayıtlarında yatırma bakiyesi korunuyordu.
Saldırgan, oluşan karşılıksız bakiyeyi kullanarak gerçek tokenları çekti. Varlıklar Omni altyapısıyla başka ağlara taşındı. Shevchenko, açığın Omni’de değil, NEAR Intents sözleşmesinde bulunduğunu vurguladı.
Ekip, önceki izleme sisteminin kullanıcıların toplam iç bakiyesini sözleşmenin gerçek token bakiyesiyle karşılaştırmadığını bildirdi. Yeni denetim bu iki büyüklüğü kontrol ediyor; tutarsızlık oluştuğunda sözleşme otomatik olarak durduruluyor.
İlk düzeltme 2 Ekim’de uygulandı. Aynı özellikte 7 Ekim’de bildirilen başka bir ciddi açığın ardından yatırma bildirimleri tamamen kaldırıldı. İkinci açığı bildiren araştırmacıya 300.000 dolar ödül verildi. Ekip, sonraki güvenlik çalışmalarında biçimsel doğrulama yöntemlerine ağırlık vereceğini açıkladı.
Yatırım tavsiyesi değildir.