NEAR Intents 16 октября опубликовала постмортем инцидента конца сентября: ошибка в функции уведомления внешнего контракта позволила создать внутренний баланс на $3,8 млн без соответствующего обеспечения реальными токенами. Уязвимость находилась в расчётном контракте NEAR Intents, а не в мостовой инфраструктуре Omni.

При депозите контракт мог уведомить стороннее приложение о поступлении токенов. Злоумышленник создал приложение, которое намеренно завершало такой вызов ошибкой: токен-контракт возвращал ему внесённые активы, но NEAR Intents всё равно сохраняла депозит во внутреннем реестре. После 23 неудачных операций возникли «призрачные» средства, под которые удалось вывести настоящие токены через Omni.

Выводы шли с 29 сентября, 16:14 UTC, до 1 октября, 05:54 UTC. Команда обнаружила проблему в 08:04 и остановила контракт через 29 минут. Мониторинг сравнивал объём активов в исходных сетях с токенами на NEAR, но не проверял сумму внутренних балансов пользователей против фактического остатка самого контракта — поэтому необеспеченная запись не вызвала тревогу.

Ранее DOK писал об остановке сервиса и возврате всех активов. Новый разбор уточняет: деньги вернулись в течение 36 часов после обнаружения, а затронутые пользователи не понесли окончательных потерь.

Исправление включили в основной сети 2 октября: теперь система сопоставляет внутренние обязательства с реальными активами и автоматически приостанавливает контракт при расхождении. 7 октября исследователь Рохан Ганапа сообщил ещё об одной критической ошибке в той же двухэтапной функции; NEAR Intents полностью удалила её и выплатила $300 тысяч вознаграждения. Команда также пообещала уделять больше внимания формальной проверке контрактов.