NEAR Intents: Hacker gibt 3,8 Millionen Dollar komplett zurück

NEAR Intents hat die bei einem Exploit erbeuteten rund 3,8 Millionen Dollar vollständig zurückbekommen. Die Ermittlungen sind damit beendet.

Was passiert ist

Am 1. Oktober wurde NEAR Intents, der Cross-Chain-Swap-Dienst im NEAR-Ökosystem, ausgenutzt. Ein Bug im Zusammenspiel der Omni-Ein- und Auszahlungsebene mit dem Haupt-Smart-Contract erlaubte es dem Angreifer, Gelder abzuziehen. Der Schaden beschränkte sich laut Mitgründer Illia Polosukhin auf Tether-Token auf der BNB Smart Chain. Das Schutzsystem SHIELD erkannte die auffällige Aktivität und pausierte den Betrieb über 11 Netzwerke hinweg. Das Team meldete den Vorfall den Strafverfolgungsbehörden und sagte zu, betroffene Nutzer vollständig zu entschädigen.

Noch am selben Tag wandte sich Alex Shevchenko, General Manager von Near Intents, öffentlich an den Angreifer. Er veröffentlichte Adressen für die Rückgabe, schrieb „We have identified you, sir“ und stellte eine Frist von 48 Stunden: eine letzte Chance auf Responsible Disclosure, also die Meldung einer Schwachstelle an die Entwickler, statt sie auszunutzen. Der Blockchain-Ermittler ZachXBT hatte zuvor nachverfolgt, dass die Gelder zu KuCoin und von dort per Bridge zu Bitcoin geschickt wurden.

Die Frist musste gar nicht ausgereizt werden. Am Freitag bestätigte Shevchenko, dass das Geld vollständig zurückgeflossen ist. Eine On-Chain-Nachricht, die offenbar vom Exploiter stammt, lautete: „We've returned all the funds, we were in the wrong.“ Darin wird auch das Team für den kooperativen Umgang gelobt und anderen geraten, Bug-Bounties zu nutzen.

Wie es dazu kam

Der Exploit fiel in eine turbulente Woche. Am 24. September waren bei der Börse Bitget rund 387,5 Millionen Dollar gestohlen worden, was Bitget und die Analysefirma Elliptic Nordkorea zuordnen. Am 29. September meldete NEAR Intents, mehr als 50 Millionen Dollar an Transfers dieser Hacker abgewehrt zu haben. Rund 503.000 Dollar wurden mitten im Swap eingefroren, etwa 166.000 Dollar gingen durch. Die Täter wichen danach auf andere Wege aus, unter anderem auf den Privacy-Pool von Zcash. Wenige Tage zuvor hatte zudem der spot NEAR-ETF von Bitwise den Handel aufgenommen.

Was das heißt

NEAR Intents lässt Nutzer Token über 35 Blockchains hinweg tauschen: Man gibt vor, was man will, und Market Maker konkurrieren um die Ausführung. Nach Angaben des Dienstes wurden darüber bereits mehr als 30 Milliarden Dollar an Swaps abgewickelt. Für Nutzer bedeutet die vollständige Rückgabe, dass kein Verlust bleibt. Die Entschädigung muss nicht aus eigenen Mitteln gestemmt werden. Der Vorfall zeigt zugleich, wo bei solchen Bridges und Deposit-Layern die Angriffsfläche liegt: in der Smart-Contract-Logik, die Ein- und Auszahlungen über mehrere Chains koordiniert. Die NEAR-Blockchain und der NEAR-Token waren laut Polosukhin nicht betroffen.