2026-09-29（具体时刻未披露）攻击准备
准备USDT与超大辅助代币余额
攻击者在NEAR领取10 BSC USDT，并从Gonka跨链取得97×10^36+97个辅助代币原始单位；其中97×10^36单位被存入Intents，为超额退款请求准备既有余额。
HOT Bridge / NEAR Intents 黑客事件事件 · 归零档案
HOT Bridge / NEAR Intents 退款解析缺陷形成约386.5万 USDT 总风险敞口，后据公开声明已全额归还
首次验证利用始于2026年9月29日16:14:19 UTC。攻击者利用 HOT Omni Bridge 与 NEAR Intents 退款处理缺陷：超额退款数据使事件日志达到16,495字节，超过 NEAR 的16,384字节上限，导致解析器收据失败，而此前写入的内部信用未被撤销。随后在9月30日23:54:30至10月1日06:08:26 UTC，HOT 的 BSC 金库分五笔支出合计3,865,000 USDT。10月2日协议升级；据 Alex Shevchenko 公开声明，约386万美元资金已全额归还。
暴雷时间线
接口实时同步漏洞利用2026-09-30退款解析失败导致内部信用与 backing 脱钩
资金归还全额公开披露称相关资金已全额归还
2026-09-29 16:14:19.280 UTC漏洞触发
首次验证利用启动
攻击者通过mt_batch_transfer_call向Intents存入97个各1单位的辅助代币条目及10 USDT。Intents先记入内部信用，再调用攻击者控制的接收合约。
2026-09-29 16:14 UTC（同一利用流程）解析失败
16,495字节事件超过日志上限
接收合约请求97笔各10^36单位的退款。解析器未按本次存款额封顶，生成16,495字节事件，超过NEAR 16,384字节上限11字节；事件发射失败，使该收据中的余额扣减回滚。
2026-09-29 至 2026-10-01 UTC信用放大
内部信用保留并被重复放大
HOT退回包括10 USDT在内的原始支持资产，但先前成功收据写入的Intents信用仍保留。攻击者通过重复存入和复利兑换放大信用；相关历史含23次失败解析批调用，其中6次可完整确认。
2026-09-30 23:54:30 UTC资金转出
第1笔金库支出：800,000 USDT
攻击者向BSC接收地址发起提现，HOT Bridge BSC金库完成首笔800,000 USDT支出。
金库支出$3,865,000异常付款笔数5笔
2026-10-01 00:24:02 UTC资金转出
第2笔金库支出：1,200,000 USDT
BSC金库向攻击者地址完成第二笔1,200,000 USDT支出。
2026-10-01 00:50:42 UTC资金转出
第3笔金库支出：1,500,000 USDT
BSC金库完成最大单笔支出1,500,000 USDT。
2026-10-01 01:46:20 UTC资金转出
第4笔金库支出：330,000 USDT
BSC金库完成第四笔330,000 USDT支出。
2026-10-01 06:08:26 UTC资金转出
第5笔金库支出：35,000 USDT
BSC金库完成第五笔35,000 USDT支出；五笔合计3,865,000 USDT，为总风险敞口。
2026-10-02 20:31:41.711–20:31:45.442 UTC协议升级
NEAR Intents升级至0.4.4
控制器调用intents.near升级，随后成功部署0.4.4版本并执行state_migrate。
截至2026-10-08（CertiK分析披露）追回披露
据公开声明，资金已全额归还
CertiK事件分析引用Alex Shevchenko的公开声明，称约386万美元资金已全额归还；该节点记录披露状态，不将10月8日视为实际归还发生时刻。
追回比例100%
链上证据
暂无数据
损失分布与影响范围
总风险敞口3,865,000 USDT五笔 BSC 金库支出合计，不代表最终净损失
异常支出笔数5 笔由异步收据处理缺陷触发
影响链路NEAR ↔ BNB Smart Chain跨链存款与退款记账链路
资金追回100% 归还据 Alex Shevchenko 公开声明，约386万美元已全额归还
首次验证利用始于9月29日16:14:19 UTC；五笔 BSC 金库支出发生于9月30日23:54:30至10月1日06:08:26 UTC，合计3,865,000 USDT。该金额为总风险敞口；据 Alex Shevchenko 公开声明，资金已全额归还，因此公开口径下永久净损失为零。
社区情绪反转
2026-09-29 至 2026-10-08首次验证利用发生退款解析失败而既有内部信用未撤销，引发安全警报
合约升级并修正处理逻辑讨论从损失规模转向根因与修复有效性
全额归还信息公开资金风险缓解，信心部分恢复
情绪由9月29日首次验证利用引发的警报，转为对9月30日至10月1日五笔金库支出及异步记账一致性的质疑；10月2日升级以及据 Alex Shevchenko 公开声明的资金全额归还，使资金风险担忧有所缓解。
2026-10-08 Alex Shevchenko (Aurora Labs CEO)：据 Alex Shevchenko 公开声明，约386万美元资金已全额归还；CertiK 的事件分析引用了该声明。
法律进展
暂无数据
教训与启示
1异步收据必须保持记账原子性
跨链调用成功、失败和回滚分支必须落到同一套不可分割的余额状态转换，不能让失败回调重复释放资产。 重点：异步不等于可以牺牲原子性
2退款不得超过已确认存款
退款路径必须绑定唯一存款凭证并设置单次消费标记，同时校验累计退款不超过已确认本金。 重点：每张凭证只能结算一次
3验证部署代码与审计版本一致
升级前后应校验字节码、源代码和配置一致性，并针对失败回调、重复收据和乱序消息做回归测试。 重点：安全结论只适用于实际部署版本
4用端到端不变量约束跨链资金
持续验证源链锁定额、目标链释放额、退款额和手续费之间的守恒关系，异常时自动限流或暂停。 重点：跨链总账必须始终守恒
本节基于已公开的技术根因与处置过程，提炼可验证、可执行的安全改进项。
评论
暂无评论