Баг у виведенні коштував міжмережевому протоколу $3,8 мільйона

NEAR Intents втратив $3,8 мільйона клієнтських коштів через баг в інфраструктурі депозитів і виведень Omni. Протокол призупинив міжмережеві свопи й пообіцяв повністю компенсувати збитки. Для ринку це важливо з двох причин: за тиждень це вже друга гучна історія навколо проєкту, а ліквідність таких сервісів тримається на довірі.

Що саме зламали

У четвер NEAR Intents повідомив про інцидент у власному акаунті в X. За описом команди, це програмна помилка на стику двох частин системи. Це інфраструктура Omni, яка приймає депозити та проводить виведення, і смартконтракту самого протоколу.

"Помилка у взаємодії інфраструктури депозитів і виведень Omni зі смартконтрактом NEAR Intents."

- NEAR Intents, з допису в X від 1 жовтня 2026

Вразливість на стороні контракту вже закрита. Постраждалим обіцяють повну компенсацію. Про інцидент повідомили правоохоронців, а детальний звіт команда збирається опублікувати найближчими днями. За даними The Block, поки триває розслідування, сервіси протоколу зупинені.

Такі баги підступні тим, що кожен компонент окремо може пройти перевірку й працювати правильно. Проблема з'являється там, де їх з'єднують. Команда прямо називає причиною саме взаємодію двох шарів, а не слабкий ключ чи помилку оператора. Для користувачів різниця суттєва, бо виправлення в коді закриває конкретну діру, а не міняє людей чи процеси.

Ще один момент стосується часу реакції. Протокол зупинив сервіси швидко, і це обмежило суму. Збиток у $3,8 мільйона порівняно з обсягами, які проходять через Intents, виглядає скромно, але для зупиненого сервісу кожна година простою має ціну.

Куди пішли гроші

Рух коштів простежив блокчейн-слідчий ZachXBT. За його даними, вкрадене надійшло на біржу KuCoin і було переведено в мережу Bitcoin. Хто стоїть за атакою, невідомо.

Маршрут через біржу дає слідчим точку, де можна просити заморозку. Міст у Bitcoin цю роботу ускладнює, бо гроші швидко залишають мережу, де їх шукають. Чи вдасться щось повернути, покаже звіт команди.

Для розслідування важливо, що частина коштів уже на біржі. Якщо платформа зможе зупинити виведення, шанс на часткове повернення зросте. Якщо ні, гроші розійдуться за адресами, і відстежувати їх стане набагато важче. Рішення тут ухвалюють не користувачі й не NEAR, а команда біржі та правоохоронці.

Збіг у часі з історією Bitget

Атака сталася за кілька днів після того, як NEAR Intents допоміг біржі Bitget під час її зламу приблизно на $388 мільйонів. Тоді протокол заблокував обміни на $50 мільйонів і заморозив понад $500 тисяч, пов'язаних з атакою. За словами гендиректора Bitget Грейсі Чен, до зламу можуть бути причетні північнокорейські хакери.

Decrypt пише, що після відмови від NEAR зловмисник Bitget почав ховати близько $3,8 мільйона в ZEC у приватному пулі Zcash. Сума в обох історіях схожа, але жодне джерело не підтверджує, що ці дві атаки пов'язані. Збіг у часі ще не доказ.

Роль NEAR Intents у тому епізоді була на боці захисту: протокол не пропускав обміни, які могли допомогти відмити вкрадене. Decrypt у заголовку зіставив ці події, але це редакційний акцент, а не доказ причини. Якщо звіт команди покаже зв'язок, оцінка ризиків для всього сектора зміниться. Якщо ні, це просто невдалий збіг.

Як це вплине на токен NEAR і ліквідність

Ринок відреагував одразу. За котируваннями на момент публікації NEAR дешевшав приблизно на 8% за добу, до $4,92. Для токена, який ще нещодавно виріс на 78% за тиждень, а обсяг Intents наближався до $30 мільярдів, це болісний, але не критичний відкат.

Модель Intents проста. Користувач каже, що хоче обміняти, а маркет-мейкери змагаються за найкращу ціну. Така схема добре працює, поки депозити й виведення надійні. Саме цей шар і підвів.

Для тих, хто користується сервісом, головний ризик це не сума збитку, а пауза. Поки свопи зупинені, ліквідність, яка йшла цим маршрутом, шукає інші мости. Для конкурентів це шанс, для самого NEAR це тест на швидкість повернення сервісу. Чим довша пауза, тим дорожче обійдеться відновлення довіри.

Обіцянка повної компенсації означає, що збиток ляже на баланс команди або казначейство екосистеми. Звідки саме підуть гроші, поки не уточнюють. Це питання, на яке звіт має відповісти, бо від нього залежить, чи вистачить резервів на наступний подібний інцидент. Ринок любить, коли компенсація названа конкретною цифрою й датою, а не загальною обіцянкою.

Є й ширший наслідок для міжмережевих обмінів. Інвестори й великі трейдери дивляться не лише на комісію та швидкість, а й на історію інцидентів. Один злом не вбиває сервіс, але повторні пробіли швидко відправляють обсяги до конкурентів.

Що робити далі

Поки сервіс не відновився, є кілька речей, які варто врахувати.

• Не поспішати повертати кошти в Intents, доки не вийде звіт про причини і виправлення не перевірять незалежно.
• Орієнтуватися на офіційні повідомлення команди, а не на коментарі в чатах, де зазвичай з'являються фішингові посилання.
• Для великих сум розглядати кілька маршрутів обміну замість одного протоколу.

Рік для безпеки крипти виходить важким. За даними Cointelegraph, збитки від атак у третьому кварталі перевищили $1 мільярд, а вересень став найгіршим місяцем року з $768 мільйонами. Інцидент із NEAR Intents малий за сумою, але знову показує, де ховаються баги: на стику кількох компонентів.