NEAR Intentsが380万ドルの悪用を公表、全額回収を確認
TREE NEWS 報道： NEAR Intentsは、10月1日のセキュリティインシデントに関する詳細な事後分析を公開した。攻撃者はスマートコントラクトのトークン入金ロジックの欠陥を悪用し、約380万ドル相当の不正な入金を生成した。報告書によると、この脆弱性は、トークン入金時に入金コントラクトが外部のサードパーティコントラクトを呼び出した際に表面化した。その外部呼び出しが失敗すると、プロトコルの返金メカニズムはユーザーの資金を返却したが、入金は依然として帳簿に記録されていた。攻撃者はこの不一致を23件のトランザクションにわたって悪用し、実際には送金された資産に裏付けられていない残高をクレジットした。
この開示は、その後の全資金の回収を確認するものであり、DeFiの悪用事例の歴史において、回収率が低くほとんどのインシデントがユーザーやプロトコル財務にとって永久的な損失で終わる中で、稀な完全解決の結果である。
攻撃の仕組み
核心的な問題は、古典的な会計の非同期化パターンである。下流の呼び出しがリバートした際に、状態更新と資産移転が同期しなくなった。コントラクトは入金記録をアトミックにロールバックする代わりに、内部残高をクレジットしたまま返金を発行した。これにより攻撃者は、対応する担保を提供することなくプロトコルに対する請求権を鋳造できた。実質的には、ループを何回繰り返せるかだけに制限された無料鋳造プリミティブであった。
- 根本原因：入金時の失敗した外部呼び出しの非アトミックな処理
- 攻撃対象：入金経路におけるサードパーティコントラクトの統合
- 規模：23件のトランザクションによる不正な入金記録の生成
- 結果：約380万ドルが影響、100%回収
業界への示唆
NEAR Intentsのようなクロスチェーンインテントシステムは、DeFiの中で最も統合が多用される設計の一つであり、ユーザー資産をソルバー、ブリッジ、サードパーティコントラクトを通じてルーティングする。このコンポーザビリティこそがそれらを強力にし、同時に返金およびフォールバックロジックを高リスク領域にしている。このインシデントは、EulerやNomadの悪用以来、業界が繰り返し学んできた教訓を強化する。外部コントラクトに触れるあらゆるコードパスは、価値移転と状態変更の間のアトミック性を保つか、残高を確定する前に不一致を明示的に調整しなければならない。
全額回収はまた、インシデント対応の成熟度の高まりを浮き彫りにしている。迅速なオンチェーン追跡、取引所やブリッジへの協調的な働きかけ、攻撃者との交渉により、最近のいくつかの悪用は完全な損失ではなく回収可能な事象へと変わった。これはインセンティブの意味ある変化であるが、依然として攻撃者が資金を返還する意欲に大きく依存している。
次に注目すべき点
NEAR Intentsは入金のファイナリティルールを強化し、リエントランシーおよびリバート処理のガードを追加し、異常な入金パターンの監視を拡大すると予想される。より広く見れば、この事例は、失敗したクロスコントラクト呼び出しの決済方法を標準化するようインテントベースのアーキテクチャに圧力を加えるものである。インテントレールがクロスチェーン流動性のデフォルトUXレイヤーになる競争を繰り広げる中、コアな数学だけでなく返金およびフォールバックロジックに特化したセキュリティ監査は、差別化要因ではなくベースラインの期待事項となるだろう。
