Взлом NEAR Intents: 3,87 млн USDT забрали семью выводами — и вернули через два дня

Днём 2 октября генеральный менеджер NEAR Intents Алекс Шевченко сообщил, что средства возвращены полностью и команда прекращает расследование. NEAR Intents дала установленному ею человеку срок до 4 октября и опубликовала адреса для возврата в Bitcoin, BNB Chain и Solana; по словам команды, на биткоин-адрес пришло около 34,59 BTC.

Одну часть этого мы можем подтвердить сами. В 16:15 UTC 2 октября адрес атакующего, 0x09Fd1f5d9F185067A92493E43AA259ea4AB3ad37, отправил небольшую транзакцию в BNB на 0xb18a1AEdFDE8b70FD67012C9E9c7a088b4d0C0e7 с вписанным в неё сообщением: «Мы вернули все средства, мы были неправы. Спасибо команде Near за уважительное, конструктивное и доброжелательное общение в процессе возврата. И не забывайте про баг-баунти!» Оно подписано тем же ключом, который получил семь выводов, — значит, пришло от того, кто забрал деньги. Биткоин-адрес возврата мы не нашли и 34,59 BTC сами не проверяли; это цифра NEAR Intents.

Поэтому след ниже — это путь, который деньги прошли до возврата. Он остаётся здесь как запись: взломы редко заканчиваются так, а маршрут через один депозитный счёт KuCoin — часть того, почему этот разрешился так быстро.

NEAR Intents перемещает средства между сетями через слой Omni; в BNB Chain деньги лежат в казне моста 0x233c5370CCfb3cD7409d9A3fb98ab94dE94Cb4Cd (метка «HOT Bridge: Treasury»). По словам NEAR Intents, ошибка во взаимодействии ввода и вывода этого слоя с контрактом позволила одному аккаунту вывести деньги, которые ему не причитались. Команда исправила её в течение часа после обнаружения, приостановила сервис, пообещала полностью возместить пользователям потери и попросила атакующего вернуть средства.

Выводы шли на 0x09Fd1f5d9F185067A92493E43AA259ea4AB3ad37 — BscScan помечает его как «Near Intents Exploiter 1». Он был активен с 28 сентября. Первый вывод пришёл в 18:57 UTC 30 сентября; за ним — в 20:05, 23:54, 00:24, 00:50, 01:46 и последний в 06:08 UTC 1 октября. Наш трейс насчитывает 3 865 031 USDT.

За два дня до этого NEAR Intents публично отказалась провести обмен на $50 млн для взломщика Bitget. Связаны ли эти события, неизвестно; в блокчейне здесь ничего их не соединяет.

USDT недолго оставался USDT. Около 1,5 млн продали через CoW Protocol и около 1,07 млн через MetaMask Swap — напрямую или через короткоживущие промежуточные кошельки — за BNB. Дальше деньги разошлись:

Один аккаунт KuCoin. Четыре промежуточных кошелька, например 0xD97023F912C15545867083c54a4fF633F66554eb, получили от атакующего по 100–250 BNB и переслали их на один и тот же адрес 0xcd87C2e1F53B7dF97f1db56aEC6c63cBd60BB262, который передаёт всё в горячий кошелёк KuCoin. Всего на этот депозитный счёт пришло около 590 BNB. Депозитный счёт принадлежит одному клиенту KuCoin, и биржа знает, кому.

Мосты. Около 760 BNB ушли через MetaMask Bridge, 0xaEc23140408534b378bf5832defc426dF8604B59, напрямую и через один промежуточный адрес; 120 BNB — через LI.FI с 0x0E77CBf891b90C73e2fC5dfF6D78EC2E383c8616. Это та часть, которую другие публикации описывают как «переведено в биткоин»; за пределы BNB Chain мы её не прослеживали.

CoW Protocol. 650 BNB продали двумя ордерами через контракт CoW Protocol 0xbA3cB449bD2B4ADddBc894D8697F5170800EAdeC.

Депозитные адреса обменного сервиса. Восемь адресов, например 0xB2dF55EC8f0D33Db37E43A5814D0d75BF65c84da, получили по 85–100 BNB — всего около 775 BNB. Похоже, будто деньги лежат, но это депозитные адреса одного сервиса: все созданы одной фабрикой, все сметают средства в один хаб и принимают USDT других клиентов. Публичной метки у сервиса нет, поэтому мы его не называем.

Обратно в тот же мост. Один промежуточный кошелёк, 0x554B7dd2f5b1521ecd2f4FCc628CFf0E1bF2447e, внёс 100 BNB в казну моста HOT — ту самую инфраструктуру, откуда пришли деньги.

На собственных адресах атакующего почти ничего не осталось: кошелёк атакующего и промежуточные пусты. То, что ещё можно вернуть, находится у сервисов, через которые прошли деньги, — прежде всего на депозитном счёте KuCoin, получившем около 590 BNB несколькими переводами, и у обменного сервиса, на депозитные адреса которого пришло около 775 BNB. Оба могут установить владельца счёта.

История атакующего теперь засыпана поддельными токенами «USDT» и пылью с адресов-двойников — это отравление адресов в расчёте на тех, кто копирует адрес из истории. К следу это не относится. Если проверяете адрес из этого инцидента, копируйте его с этой страницы или из метки BscScan, а не из свежей транзакции.

Она никого не называет и не говорит, кто управляет каким-либо кошельком. Адрес атакующего — тот, что публично помечен BscScan; причина ошибки — изложение самой NEAR Intents. Суммы по направлениям — по ончейн-переводам 30 сентября – 2 октября 2026 года; BNB, ушедшие через мосты, в других сетях мы не прослеживали.