Volledige terugbetaling sluit NEAR Intents-exploit af

De vermeende aanvaller achter de exploit bij NEAR Intents heeft ongeveer $3,8 miljoen teruggestuurd nadat het protocol een termijn van 48 uur had gesteld. Algemeen manager Alex Shevchenko beëindigde de zoektocht naar de middelen en riep op kwetsbaarheden via bugbounties te melden, in plaats van diensten te verstoren.

NEAR Intents had de dienstverlening stilgelegd na de ontdekking van de kwetsbaarheid en gebruikers vóór de terugbetaling volledige compensatie toegezegd. De terugkeer van het volledige bedrag sluit het directe financiële incident af, maar maakt niet bekend wie de vermeende aanvaller is of hoe het team die identificeerde. Cryptonews berichtte eerder over de exploit, de terugstuuradressen en het ultimatum.

Een bug in de Omni-infrastructuur

De exploit ontstond volgens NEAR Intents door een fout in de manier waarop de Omni-infrastructuur voor stortingen en opnames samenwerkte met een smart contract. Het protocol meldde dat de blootstelling beperkt bleef tot USDT op BNB Smart Chain. De NEAR-token, het kernprotocol en andere apps op het netwerk werden volgens medeoprichter Illia Polosukhin niet geraakt.

NEAR Intents laat gebruikers aangeven welk handelsresultaat ze willen bereiken. Onafhankelijke market makers, zogeheten solvers, verzorgen vervolgens de uitvoering, zodat gebruikers niet zelf een bridge of exchange hoeven te kiezen. Het platform had naar verluidt meer dan $30 miljard aan volume verwerkt over 35 blockchains.

Na de exploit bleven elf netwerken, waaronder BNB Smart Chain, Polygon, TON en Scroll, ongeveer twaalf uur extra beperkt terwijl herstelwerkzaamheden doorgingen. Dat betekende dat gebruikers tijdelijk geen stortingen en opnames via de betrokken netwerken konden uitvoeren. NEAR Intents had eerder ook middelen in verband met de Bitget-inbraak afgewezen en ongeveer $503.000 bevroren via SHIELD; dat was een afzonderlijk incident.

Shevchenko vraagt om bugbounties

Na het ultimatum opende Shevchenko een privékanaal om met de vermeende aanvaller te communiceren. Hij verwees naar berichten die konden worden ontsleuteld met de privésleutel van een Ethereum-adres. In zijn openbare boodschap schreef hij: “We are stopping the investigation. Please use bug bounties instead of disrupting the services.”

De oproep raakt aan een terugkerend dilemma in de beveiliging van DeFi-protocollen: hoe aantrekkelijk moet een beloning zijn om onderzoekers ertoe te brengen een kwetsbaarheid verantwoord te melden, in plaats van die uit te buiten? De terugbetaling laat zien dat overleg in dit geval tot herstel leidde, maar bevestigt niet waarom de vermeende aanvaller het geld terugstuurde. NEAR Intents heeft geen wijziging van zijn bugbountybeleid aangekondigd.

Terugbetaling na een publieke deadline

NEAR Intents zette de dienstverlening op donderdag stil nadat het de bug had ontdekt en schatte het verlies aanvankelijk op ongeveer $3,8 miljoen. Op vrijdag 2 oktober publiceerde Shevchenko drie walletadressen voor Bitcoin, BNB en Solana, en stelde hij dat de vermeende aanvaller was geïdentificeerd. “We have identified you, sir”, schreef hij bij zijn oproep om de middelen terug te sturen.

De volledige terugbetaling volgde binnen de gestelde termijn van 48 uur. Zulke volledige recuperaties zijn volgens Cryptopolitan uitzonderlijk; de publicatie noemt de terugbetalingen na de hacks van Euler Finance en GMX als eerdere voorbeelden. Bij Euler Finance kwam uiteindelijk meer dan $177 miljoen terug, terwijl de aanvaller van GMX ongeveer $37,5 miljoen teruggaf na een white-hat-bounty.

De NEAR-token daalde volgens Cryptopolitan in de uren na het nieuws ongeveer 6%, van circa $4,95 naar ongeveer $4,81. De terugbetaling is daarmee positief voor getroffen gebruikers, maar zegt op zichzelf niets over de technische oorzaak buiten de gemelde fout in de Omni-interactie. De discussie over betere disclosureprikkels blijft open: het protocol heeft de zaak gesloten, maar geen verdere details over de identificatie of de onderhandelingen bekendgemaakt.