Протокол NEAR Intents получил назад все похищенные деньги. 30 сентября и 1 октября атакующий вывел из казначейского контракта в сети BNB Chain около 3,87 млн USDT серией переводов, протокол приостановил кросс-чейн операции, назвал предполагаемого исполнителя и дал ему 48 часов. Возврат подтвердился 2 октября в 16:15:28 UTC транзакцией в BNB Chain с сообщением от самого атакующего. Сегодня расследование закрыто.

Коротко

Причина — ошибка во взаимодействии слоя депозитов и выводов Omni с контрактом NEAR Intents. Выводы шли не одним движением, а несколькими за двое суток. Деньги вернулись полностью; пострадавшим пользователям протокол отдельно обещал компенсацию. Для рынка это второй случай полного возврата за месяц — и он резко выделяется на фоне соседнего по времени взлома биржи.

Как выводили деньги двое суток

Отдельно стоит отметить темп. Деньги уходили не одним залпом: атакующий делал переводы в течение двух календарных дней, и всё это время протокол списаний не остановил. Для сравнения, на бирже Bitget неделей раньше похищенное перевели в нативные токены за 41 минуту — там счёт шёл на минуты, здесь на сутки. Медленная кража даёт обороняющейся стороне время, но только если кто-то смотрит на казначейский контракт в режиме наблюдения, а не разбирает инцидент по факту.

Почему здесь вернули, а у Bitget нет

Собственное наблюдение: за сентябрь и начало октября мы разобрали три крупные кражи, и возврат в каждой из них обеспечила не техника, а переговоры. Сравним исходы.

У Bitget похитили 387,5 млн долларов, заморозить удалось 1,1 млн — это 0,28% суммы, и гендиректор площадки прямо говорит, что большего возврата не ждёт. Из сети Liquid в начале сентября вывели 4 000 BTC и вернули 3 400 — 85%, причём после публичного торга с атакующим. У NEAR Intents вернулось 100%, и тоже после прямого контакта и срока.

Размер добычи сам по себе исход не определяет: 3,87 млн вернулись целиком, 320 млн в Liquid вернулись на 85%, а 387,5 млн не вернулись почти совсем. Разделяет эти случаи другое — есть ли с кем договариваться. В двух историях атакующий выходил на связь и имел что терять: деанонимизацию, уголовное дело, репутацию «белого хакера». В случае Bitget почерк, по словам самой биржи, совпадает с группами, которые ранее связывали с Северной Кореей, и у такого исполнителя переговорной позиции нет вовсе — ни репутации, ни риска суда, ни интереса к сделке.

Практический вывод для чтения новостей о взломах: прогноз возврата стоит строить не по сумме и не по тому, насколько быстро позвали аналитиков, а по тому, выходит ли атакующий на связь в первые сутки. Молчание в первые 24 часа — обычно уже ответ.

Хроника инцидента

Источники

• Crypto Briefing — возврат средств и закрытие расследования
• CoinDesk — причина сбоя и остановка кросс-чейн операций
• Cryptometer — ультиматум на 48 часов и время транзакции возврата
• Quartz — у Bitget заморожено 1,1 млн из 388 млн