Por Canuto  

NEAR Intents informó que recuperó todos los fondos vinculados a una vulnerabilidad que permitió registrar depósitos falsos y retirar aproximadamente USD $3,8 millones. El incidente expuso una brecha en sus controles de saldo, que el equipo dice haber corregido.
***

  • El ataque aprovechó fallas en las llamadas de notificación de depósitos entre el contrato de NEAR Intents y contratos de terceros.
  • El responsable generó registros de fondos fantasma mediante 23 transacciones fallidas y retiró los activos a través de Omni hacia otras cadenas.
  • NEAR Intents pausó el contrato, afirmó haber recuperado todos los fondos el 2 de octubre y añadió controles con pausa automática.

NEAR Intents afirma que recuperó todos los fondos tras una falla que permitió registrar USD $3,8 millones

NEAR Intents informó que recuperó la totalidad de los fondos vinculados a una vulnerabilidad de su contrato, explotada entre el 29 de septiembre y el 1 de octubre. El análisis del incidente describe cómo depósitos que en realidad habían sido reembolsados quedaron registrados como fondos disponibles, lo que permitió realizar retiros hacia otras cadenas.

El responsable principal de NEAR Intents, Alex Shevchenko, publicó un análisis posterior al incidente sobre el fallo y las medidas adoptadas. El reporte difundido por KuCoin cifra en aproximadamente USD $3,8 millones los fondos fantasma registrados y extraídos. NEAR Intents afirmó que recuperó todos los fondos y que los usuarios afectados recibieron compensación.

Cómo se generaron los depósitos fantasma

La vulnerabilidad estaba en la función de notificación de depósitos del contrato de NEAR Intents cuando interactuaba con contratos de terceros. Según el análisis, el atacante desplegó un contrato diseñado para provocar que esas llamadas de notificación fallaran, aunque el proceso no impedía que el contrato de NEAR Intents conservara registros de depósito. Esa diferencia entre el resultado real de la operación y el registro contable abrió la puerta a retiros que no correspondían a fondos depositados efectivamente.

El mecanismo dependía de que el contrato del token reembolsara los depósitos después del fallo, mientras NEAR Intents mantenía la anotación asociada a cada operación. De ese modo, el sistema podía mostrar un saldo atribuible al atacante aunque los tokens correspondientes ya no permanecieran allí. El reporte califica esos importes como fondos fantasma: registros que aparentaban respaldar valor sin que los activos siguieran en el contrato.

El atacante repitió el procedimiento en 23 transacciones de depósito fallidas y, de acuerdo con el análisis, acumuló aproximadamente USD $3,8 millones en esos registros. Luego retiró los fondos mediante la infraestructura Omni hacia cadenas externas. La secuencia muestra que el problema no consistió simplemente en una transferencia irregular: el registro creado por las notificaciones fallidas permitió que el sistema tratara como disponibles cantidades que ya habían sido reembolsadas.

El equipo precisó que la vulnerabilidad se encontraba en el contrato de NEAR Intents y no en la infraestructura Omni. Esa distinción delimita dónde se originó el fallo y evita atribuir a Omni la creación de los registros falsos; la infraestructura intervino en la ruta empleada para extraer los activos hacia otras cadenas. En incidentes que atraviesan varios componentes, identificar el punto vulnerable ayuda a entender qué parte del flujo requiere corrección.

Detección, pausa y recuperación

La actividad maliciosa se produjo entre el 29 de septiembre y el 1 de octubre, fecha en la que el equipo detectó retiros inusuales. NEAR Intents pausó el contrato 29 minutos después de advertir esa actividad, según la cronología divulgada. La pausa limitó la capacidad de continuar utilizando el contrato durante la respuesta al incidente, aunque el reporte no detalla cuántos retiros adicionales se evitaron ni ofrece un desglose de cada transacción.

NEAR Intents afirmó que recuperó los fondos el 2 de octubre, tras la colaboración de la capa de seguridad SHIELD, investigadores de seguridad de la industria y personas que rastrearon las operaciones en cadena. El análisis atribuye a esa coordinación la recuperación completa, pero no identifica a cada investigador ni describe el proceso específico que condujo a la devolución. Sí sostiene que todos los usuarios afectados recibieron compensación.

La recuperación y la compensación son resultados distintos de la corrección técnica. La primera se refiere a que el equipo afirma haber recibido nuevamente todos los fondos extraídos; la segunda, a que los usuarios afectados fueron resarcidos. El reporte presenta ambas medidas como completadas, aunque no especifica cómo se distribuyó la compensación, qué activos se devolvieron ni si hubo diferencias entre el valor inicial y el finalmente recuperado.

El cambio en los controles internos

El análisis identificó una limitación en el monitoreo previo: el sistema comparaba los totales de tokens de la cadena de origen con los de la sidechain de NEAR, pero no contrastaba los saldos agregados de los usuarios con el saldo de tokens retenido por el contrato. Esa vigilancia podía comprobar una relación entre cadenas y, al mismo tiempo, dejar sin detectar una discrepancia interna entre lo que el contrato reconocía a sus usuarios y los activos que realmente mantenía.

La diferencia es importante porque un registro de saldo y una tenencia efectiva de tokens no son lo mismo. En este incidente, la notificación fallida permitió que el contrato conservara datos de depósito después del reembolso, mientras el control existente no vigilaba la divergencia entre los saldos registrados para los usuarios y el saldo del contrato. El equipo reconoció que esa ausencia de una verificación permitió que la actividad pasara inadvertida durante varios días.

Como respuesta, NEAR Intents eliminó por completo la función de notificación de depósitos implicada en el incidente. El equipo también añadió monitoreo del saldo total atribuido a los usuarios y del saldo de tokens del contrato; si el sistema detecta una ruptura de esa relación, el contrato se pausará automáticamente. La medida transforma una comprobación que antes faltaba en una condición explícita para detener operaciones.

La corrección descrita combina la eliminación del mecanismo vulnerable con una nueva alerta de consistencia, en lugar de depender únicamente de la observación de retiros inusuales. Es un cambio que, de acuerdo con el análisis posterior al incidente, apunta directamente a la discrepancia explotada: registros de usuario que superan los activos disponibles en el contrato. El reporte no ofrece detalles sobre auditorías posteriores ni sobre fechas adicionales de despliegue, por lo que esos aspectos no pueden darse por confirmados.

Qué deja expuesto el incidente

El caso ilustra por qué las notificaciones entre contratos requieren validaciones que consideren tanto el resultado de una llamada como el movimiento efectivo de los activos. Si un contrato registra una operación fallida como un depósito válido, las capas posteriores pueden actuar sobre un saldo que no tiene respaldo. En el incidente de NEAR Intents, esa discrepancia fue suficiente para generar registros utilizables en retiros, pese a que los depósitos habían sido reembolsados.

La cronología también destaca el papel de la vigilancia de retiros: la actividad inusual condujo a una pausa en 29 minutos, pero el monitoreo anterior no había detectado la inconsistencia contable que originó el problema. Son controles con funciones diferentes. La detección de movimientos anómalos puede activar una respuesta de emergencia, mientras la comparación entre pasivos registrados y activos disponibles puede revelar antes que un contrato está reconociendo saldos sin respaldo.

La participación de SHIELD, el rastreo en cadena y los investigadores de seguridad contribuyó, según el reporte, a que los fondos regresaran el 2 de octubre. Esa colaboración permitió abordar la recuperación después de que el equipo pausara el contrato, pero no sustituye las medidas preventivas que ahora se anuncian. El material no especifica qué mecanismos concretos de SHIELD se utilizaron ni detalla el contacto con el atacante, así que no es posible atribuir acciones adicionales a esos participantes.

NEAR Intents comunicó que recuperó todos los fondos y compensó a los usuarios afectados. Como medidas técnicas, retiró la función vulnerable e incorporó una pausa automática ante discrepancias de saldo. El reporte no detalla cómo se distribuyó la compensación ni ofrece información sobre auditorías posteriores.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados