NEAR Intentsのハッキング被害が約380万ドルに拡大、NEARのクロスチェーンスワップを停止

被害額はなお確定中

木曜日に発生したNEAR Protocol (NEAR) Intentsのセキュリティ事故について、オンチェーンデータは流出総額を387万USDTと示しており、運営チーム自身の概算は約380万ドルにとどまる。資金の追跡が続いているため、この数字は今後動く可能性がある。異常な送金を検知した同社は、クロスチェーンスワップサービスの全業務を停止し、NEARの価格はこれに反応して下落した。公式の声明によれば、侵入経路はOmniの入出金インフラと、全スワップを記録する自己実行型のコードであるNEAR Intentsのスマートコントラクトとの相互作用に存在したバグだという。利用者がスワップ条件を提示し、独立したマーケットメーカーが競争して約定を受ける仕組みのこのサービスは、影響を受けた資金を全額補償する方針を表明している。

ブロックチェーンの記録によると、受取アドレスはHOT Bridgeトレジャリーコントラクトから資金を集めていた。プロトコル自身のドキュメントはこのコントラクトをBNB Chainのトレジャリー(準備金管理)として列挙している。水曜午後には10と11というテスト規模の送金が2件現れ、続いて米国東部時間の水曜午後7時54分から木曜午前2時8分までの間に、3万5,000から150万USDTに及ぶ5件の大口出金が発生した。7件すべてで受取アドレス自身が支払いを起動しており、通常の同じコントラクトからの出金では別のアドレスが支払いを処理するのと対照的だ。報道ベースの情報では、トレジャリーは事故中も他のユーザーへの対応を続けており、米国東部時間の午前9時27分直後に約21万5,000を支払っていた。

資金はKuCoinへ向けられた

受取アドレスから流出したUSDTは、各送金のほぼ直後に移動している。オンチェーンの資金フローでは、約150万USDTがクロスチェーン取引の一形態でもある分散型取引の中継地点であるCoW Protocolの決済コントラクトに到達し、残りはまだ特定されていない4つのアドレスに着信した。BNB Chainのホットウォレットからの異常な送金を最初に指摘したオンチェーン調査者のZachXBTは、盗まれた資金が暗号資産取引所のKuCoinに到達し、Bitcoin(BTC)へブリッジされたと報告している。チームは法執行機関に通報し、セキュリティ企業とブロックチェーン分析企業を動かして資金の追跡を進めている。どれほどの額が回収されたかについて、チーム側と調査者側のいずれもまだ確認していない。

11ネットワークが引き続き停止

復旧作業は2段階で進んだ。チームの説明では、コントラクト側の欠陥は修正済みで、米国東部時間の午前8時53分前後に投稿された朝の告知から約1時間以内にnear.comなど中核業務を再開するとしていた。一方、BNB Chain、Polygon、TON、Optimism、Avalanche、Stellar、Monad、X Layer、ADI、Scroll、Plasmaの11ネットワークにおける入出金は、Omniインフラ自体の修復を要するため、今後約12時間は停止が続く予定だ。公式声明によれば、HOT Walletの残高を含め、これらのチェーンからプラットフォーム内に置かれた資産は、中核サービスの再開後に他のトークンへ変換できる。今後数日中に詳細な事故報告書が出される見通しだ。

このハッキングは、Bitwiseが米国初の現物NEAR Protocol (NEAR)のETF上場から2日後に発生した。同商品はスワップサービスを売り文句の一つに掲げており、資産運用会社はその累計取引量を35ブロックチェーン全体で320億ドル超と評価していた。木曜の取引を通じた24時間でトークンは約6%下落し、セッション中の下落幅は一時8.6%に達した。ただし、レイヤー1ブロックチェーンであるNEAR Protocol自体が標的と名指しされたわけではない。この下落は、ETF上場を前に約175%上昇した9月、$5.00近辺で推移した100%超の上昇相場を受けてのものだ。当社のライブ監視では、過去24時間で約5.9%の下落を示している。

今年2度目のハッキング

今週の盗難資金との接触は、プロトコルにとって初めてではない。ゼネラルマネージャーのAlex Shevchenkoは今週早く、NEAR IntentsがBitgetハッキングの送金5,000万ドルをブロックした数日後にも、攻撃者が5,000万ドル超をプロトコルに通そうとしたことを明かした。この時は約16万6,000ドルが通過し、約50万3,000ドルが凍結された。Bitget自体は先週3億5,000万ドル超を失っており、DefiLlamaのハッキング追跡では、Liquid Networkが約3億2,000万ドル、Driftが2億9,500万ドル、Kelpが2億9,300万ドルと今年の被害額を列挙している。NEARエコシステムとしては、4月にRhea Financeが760万ドルを失って以来、2026年で2度目の大規模ハッキングとなる。

まだ確定していない数字

この日の出来事は一つの共通点を描き出す。クロスチェーン決済を担うサービスは多数のチェーンにまたがって管理リスクを一箇所に集中させ、コントラクトとの相互作用の単一バグが数時間で資金を流出させ得るということだ。現時点の証拠は整合している。チーム自身の声明はOmniの入出金とスマートコントラクトの相互作用を侵入経路と特定し、コントラクト側の修正を確認している。一方、HOT Bridgeトレジャリーから387万USDTがCoW Protocolを経てKuCoinへ向かったオンチェーンの痕跡は、調査者に確定した出発点を与えている。暫定の380万ドルという概算は、やや上回るオンチェーン集計と並んで置かれており、いまだ暫定的な数字だ。回収された資金と、今後数日で約束された技術報告書の全文は、まだ計上されていない。