Rund 3,8 Millionen Dollar „Luftguthaben“ – das Geld wurde zurücküberwiesen, aber im Kontobuch zu viel verbucht.
Das Cross-Chain-Intent-Protokoll NEAR Intents hat eine Analyse des Vorfalls veröffentlicht: Bei einer Einzahlung musste ein Drittanbieter-Contract aufgerufen werden, um eine Benachrichtigung zu senden. Jemand suchte gezielt den Weg über eine „fehlgeschlagene Benachrichtigung“ – die Token wurden tatsächlich zurückerstattet, doch der interne Kontostand des Systems stieg trotzdem. Auf diese Weise wurden in 23 Transaktionen rund 3,8 Millionen Dollar an fiktivem Guthaben angehäuft und anschließend über eine Cross-Chain-Verbindung echte Token abgezogen.
Noch erstaunlicher ist, was danach geschah. Etwa 36 Stunden nach Entdeckung des Problems wurde das gesamte Geld zurückgeschickt, und auch die betroffenen Nutzer wurden entschädigt. Die betreffende Funktion wurde anschließend entfernt; außerdem wurden eine Kontostandsprüfung und eine automatische Pausierung eingeführt.
Man hat schon so viele Meldungen über Diebstähle gehört – meistens enden sie mit „alles weg, eingefroren, mühsame Nachverfolgung“. Diesmal war es eher umgekehrt: Erst legte die Buchungslogik eine Falle, dann sah man zu, wie die Gegenseite das Loch stopfte. Ist das für dich einfach Glück im Unglück – oder glaubst du, dass beim nächsten Mal womöglich niemand das Geld zurückzahlt?
Das Cross-Chain-Intent-Protokoll NEAR Intents hat eine Analyse des Vorfalls veröffentlicht: Bei einer Einzahlung musste ein Drittanbieter-Contract aufgerufen werden, um eine Benachrichtigung zu senden. Jemand suchte gezielt den Weg über eine „fehlgeschlagene Benachrichtigung“ – die Token wurden tatsächlich zurückerstattet, doch der interne Kontostand des Systems stieg trotzdem. Auf diese Weise wurden in 23 Transaktionen rund 3,8 Millionen Dollar an fiktivem Guthaben angehäuft und anschließend über eine Cross-Chain-Verbindung echte Token abgezogen.
Noch erstaunlicher ist, was danach geschah. Etwa 36 Stunden nach Entdeckung des Problems wurde das gesamte Geld zurückgeschickt, und auch die betroffenen Nutzer wurden entschädigt. Die betreffende Funktion wurde anschließend entfernt; außerdem wurden eine Kontostandsprüfung und eine automatische Pausierung eingeführt.
Man hat schon so viele Meldungen über Diebstähle gehört – meistens enden sie mit „alles weg, eingefroren, mühsame Nachverfolgung“. Diesmal war es eher umgekehrt: Erst legte die Buchungslogik eine Falle, dann sah man zu, wie die Gegenseite das Loch stopfte. Ist das für dich einfach Glück im Unglück – oder glaubst du, dass beim nächsten Mal womöglich niemand das Geld zurückzahlt?