NEAR Intents 公开 380 万美元安全事件复盘
TREE NEWS 报道， NEAR Intents 发布了针对 10 月 1 日安全事件的详细复盘报告，披露其智能合约在代币存入过程中调用第三方合约时存在漏洞。当外部调用失败时，协议的退款机制会将资金退回用户，但存款记录却依然被写入账本。攻击者利用这一「退款成功、记账未撤销」的不一致状态，通过 23 笔交易制造了虚假存款，涉及金额约 380 万美元。
报告同时确认，相关资金目前已全部追回。在 DeFi 攻击史上，能够实现全额追回的案例并不多见，多数事件最终以用户或协议金库的永久损失收场。
攻击手法解析
该漏洞属于典型的「记账与转账不同步」问题。当存款路径中的第三方合约调用回滚时，合约没有原子性地撤销存款记录，而是先执行了退款，同时保留了内部余额的入账。这相当于给攻击者提供了一个「无抵押铸币」的入口，其规模仅受循环次数限制。
- 根本原因：存款流程中对外部调用失败的处理不具备原子性
- 攻击面：存款路径中集成的第三方合约
- 规模：23 笔交易产生虚假存款记录
- 结果：约 380 万美元受影响，已 100% 追回
行业影响
NEAR Intents 这类跨链意图（Intents）系统是 DeFi 中集成度最高的设计之一，用户资产需要经过求解器、跨链桥与第三方合约的多层流转。这种可组合性既是其能力来源，也正是风险集中之处——退款与回退逻辑因此成为高危区域。此次事件再次印证了自 Euler、Nomad 等攻击以来行业反复学到的教训：任何触及外部合约的代码路径，都必须在价值转移与状态变更之间保持原子性，或在最终确认余额前显式对账。
全额追回也反映出事件响应能力的成熟。快速的链上追踪、与交易所和跨链桥的协同，以及对攻击者的谈判，已使近期多起攻击从「彻底损失」转变为「可追回事件」。这在激励层面是一次有意义的转变，但仍高度依赖攻击者是否愿意归还资金。
后续关注
预计 NEAR Intents 将收紧存款最终性规则，增加重入与回滚处理防护，并加强对异常存款模式的监控。更广泛地看，此案将推动意图类架构标准化「跨合约调用失败后的结算方式」。随着意图赛道争夺跨链流动性的默认入口，专门针对退款与回退逻辑的安全审计——而非仅关注核心数学——将从差异化优势变为行业基线要求。
