NEAR Intents遭攻击的380万美元资金以比特币和Monero (XMR)形式归还

380万美元被盗,以XMR归还

10月1日攻击者从NEAR Protocol (NEAR) Intents抽走的380万美元资金,大部分已经回来,但回来的形式并非协议团队所预期。NEAR Intents总经理Alex Shevchenko在10月8日的一段录音中说,被盗资金中只有一部分以比特币形式返还,其余部分已被兑换成门罗币(Monero,XMR),这种隐私币的账本不记录发送方和接收方的身份。这一披露对Monero价格本身没有直接影响,却让这种币站上了本季度最不寻常的一起追回事件的中心。NEAR Intents运营一条跨链兑换协议,用户无需封装代币即可在不同网络之间交易资产,而10月1日的攻击恰好击中了这套机制。失窃后,团队追踪了被盗资产,最初以为非比特币部分仍停留在以太坊、BNB Chain和Solana上。这个假设并没有成立。Shevchenko说,比特币区块链上的部分确实被准确识别,但其余资产经过难以追踪的通道流转,“实际上已被兑换成了XMR”。门罗币在协议层面隐藏交易双方,其隐私体系还包括网络层匿名项目Kovri,金额和对手方不会出现在公开记录中。资产的改道也改变了谈判。Shevchenko说,攻击者之所以主动联系,正是为了解决一个实际问题:“归还资金的门罗币地址是什么”。比特币地址让团队能够公开看到入账,门罗币地址则不提供这样的窗口,协议方只能等攻击者的善意来归还大部分赃款。这种规模的攻击很少能全额追回,这一次做到了,其过程值得拆解。

10月2日资金归还,兑换尚未完成

归还过程本身收得很快。10月2日,Shevchenko发帖称资金“已全额退回”,团队将结束调查。同一天,独立的链上分析师Kuncoro核对了公开的返还地址,发现比特币地址收到34.59枚BTC,约占被盗总额的78%,并得出结论:剩余部分“通过另一条”路径回来。Shevchenko确认了这一出入:“你说得对,确实如此。”被问及NEAR Intents是否仍持有这批XMR时,他回答“这部分正在处理中”。团队已经用自有资金补足了智能合约,剩下的步骤是“把钱退回用户口袋”。这意味着要把门罗币兑换成USDT,而绕道以隐私为核心的Monero (XMR)恰恰让兑换变得缓慢。Shevchenko谈到经手兑换的交易对手时说:“对方要求提供资金来源证明,我们能说资金来源是什么呢?”把价值从门罗币链转移到另一条网络上的代币,正是原子交换要解决的问题,但这里的实际路径必须经过先问问题的交易场所。Shevchenko没有说明赃款中有多少以XMR到达,他还提到自己第一次亲手接触这种币“正是在这次攻击期间”。双方全程保持一条私密联络线。攻击者发送链上消息表示愿意配合并索要Signal联系方式后,Shevchenko发布了一条加密消息,内含Signal群组邀请。只有攻击者能读出内容,因为这条消息“用攻击者的公钥加密”,攻击者是“唯一能解密它的人”。攻击事件发生后,NEAR Intents收到了多份漏洞赏金提交,其中一份有效,将获得赏金。

XMR的出场通道是瓶颈

链上记录和团队自己的发帖,让这成为有据可查程度较高的一起攻击追回事件:34.59枚BTC清晰可见地停在公开地址上,缺口也在书面中得到了承认。这个案例同时展示了失窃后的标准出场方式,即转入门罗币,以及随之而来的摩擦。XMR份额已经回到NEAR Intents手中,金额未披露,而每一条出场通道现在都要求提供资金来源证明,对攻击者交来的币,团队几乎无法自证。追踪该币走势的读者可以查看我们的Monero技术分析;想了解这一事件背后隐私机制的读者,可以从这篇关于如何使用门罗币的指南入手。目前,这场追回故事停在NEAR Intents的兑换台前。