EN
安全事件 · 合约漏洞

NEAR Intents安全事件（2026-10-01）

Arnold Burn 的卡通头像作者 正文更新

NEAR Intents发生了什么？

2026 年 9 月 29 日至 10 月 1 日，攻击者利用 NEAR Intents 结算合约（intents.near）的漏洞制造了约 380 万美元无资产支撑的“幽灵余额”，并经 Omni 提走真实代币。NEAR Intents 于 10 月 1 日暂停；约一天后攻击者退还全部资金，用户未受损失。

来源： CoinDeskThe Crypto TimesThe Defiant (via cryptonews.net)DefiLlama

基本事实

日期（UTC）
· 提款发生在 9 月 30 日 00:14 至 10 月 1 日 13:54（UTC+8）；10 月 1 日发现并暂停
协议
NEAR Intents —— intents.near 结算合约及其 Omni 充提基础设施
报告损失
约 380 万美元被提走；攻击者已全部退还 CoinDeskThe Crypto TimesThe Defiant (via cryptonews.net)
根因
合约漏洞 — 存款通知功能在代币已被退回时仍保留账本记账，产生无资产支撑的余额 The Crypto TimesThe Defiant (via cryptonews.net)
涉及链
NEAR, BNB Chain, other Omni-connected chains
追回情况
资金已退回
官方复盘
Postmortem: NEAR Intents October 1 Exploit

时间线

带具体时刻的条目为 UTC+8（北京时间）；只有日期的条目按 UTC 日历日。

  1. 2026-09-30 00:14 — 第一笔基于无支撑余额的提款。 The Crypto Times
  2. 2026-10-01 13:54 — 攻击者最后一笔提款（共 23 笔失败存款交易，制造约 380 万美元幽灵余额）。 The Crypto Times
  3. 2026-10-01 16:04 — 团队发现提款异常；29 分钟后暂停合约。 The Crypto Times
  4. 2026-10-01 — 当天稍后合约恢复，受影响路线逐步重开。 The Defiant (via cryptonews.net)
  5. 2026-10-02 — 攻击者退还全部资产。 CoinDesk
  6. 2026-10-03 04:31 — 合约修复上线：ctl-intents.near 将 intents.near 升级到 0.4.4 版（交易 FPLaCtdy…）。 Nearblocks
  7. 2026-10-07 — 同一存款通知功能又收到一份严重漏洞报告，该功能被整体移除（向研究者支付 30 万美元）。 The Defiant (via cryptonews.net)
  8. 2026-10-16 — NEAR Intents 总经理 Alex Shevchenko 在 X 上以长文形式发布复盘。 NEAR Intents (Alex Shevchenko)

资金去向与追回情况

团队锁定并联系上攻击者，攻击者在暂停后约一天退还了全部被盗资产（CoinDesk）。据 10 月 16 日的复盘，全部资金在发现后 36 小时内追回；NEAR Intents 事先已用自有资金补足合约，退回的资产中有一部分是比特币和门罗币（The Crypto Times）。

退还之前，链上调查者 ZachXBT 追踪到资金从一个 BNB Chain 热钱包流向 KuCoin 并换成比特币（据 CoinDesk 报道）。

影响了哪些路线和桥？

攻击者通过 Omni（NEAR Intents 的跨链充提层）提走真实代币，异常流出最早出现在一个 BNB Chain 热钱包。暂停期间，状态页显示 BNB Smart Chain、Polygon、TON、Optimism、Avalanche、Stellar、Monad、X Layer、ADI、Scroll、Plasma 的充提不可用（CoinDesk）。经 1Click API 和合作前端走 NEAR Intents 的兑换在 10 月 1 日暂停，之后逐条路线恢复。

本站相关桥评测： NEAR Intents

为什么会发生？

intents.near 合约维护一本内部账本，记录每个用户存入了什么。一个便利功能允许存款时顺带通知第三方合约。NEAR 上的跨合约调用是异步的：后续调用失败时，代币合约会把代币退回，涉及的每个合约都必须自行回滚状态。而 Intents 合约在代币已退回的情况下仍保留了账本记账。攻击者部署了一个专门让通知失败的合约，通过 23 笔失败存款累积出约 380 万美元毫无支撑的余额，再经 Omni 提走真实资产（The Crypto Times）。

漏洞存在了将近 40 小时，因为监控只比对源链余额与 NEAR 上的代币余额，从未比对“用户内部余额之和”与“合约实际持有的代币”——恰恰是这条不变量能发现问题。该功能在 1 月和 10 月 7 日都收到过漏洞赏金报告，说明结算合约上的可选复杂功能代价不小。

最初的声明把原因归于 Omni 与合约的交互；复盘则明确是合约漏洞、不是 Omni 的漏洞。本文以复盘为准，并注明两者的差异。

用户当时该怎么做？现在该怎么做？

当时

用户能做的不多：暂停保护了在途资金，协议也先行补足了缺口。合理做法是：状态页显示受影响的链期间不要再发起新存款；不要点评论区里流传的“退款”链接——此类事件后通常会出现冒充诈骗。

现在

该功能已被移除，内部余额与合约持仓不一致时会自动暂停。选择任何意图型路线时，确认协议有状态页并发布带日期的复盘，并控制单笔金额，使其即使暂停一天也不影响你。本站 NEAR Intents 报价来自 1Click API，见上方披露。

来源

7 个独立发布方，链接按标注日期核对。

  1. NEAR Intents hit by $3.8 million exploit as crypto's rough year of hacks continues — CoinDesk · 媒体 · 核对于
  2. NEAR Intents Traces $3.8M Exploit to Smart Contract Deposit Bug — The Crypto Times · 媒体 · 核对于
  3. NEAR Intents Postmortem Links $3.8 Million Exploit to Deposit Bug — The Defiant (via cryptonews.net) · 媒体 · 核对于
  4. DefiLlama Hacks — NEAR Intents, 2026 — DefiLlama · 数据库 · 核对于
  5. Postmortem: NEAR Intents October 1 Exploit — NEAR Intents (Alex Shevchenko) · 官方 · 核对于
  6. Transaction FPLaCtdy… — ctl-intents.near upgrades intents.near (2 Oct 2026 20:31:41 UTC) — Nearblocks · 数据库 · 核对于
  7. HOT Bridge / NEAR Intents — incident analysis — CertiK · 安全机构 · 核对于

如何引用本页？

Burn, A. / upswap.io（2026）。NEAR Intents安全事件（2026-10-01）。更新于 2026-10-24。https://upswap.io/zh/incidents/near-intents-2026#summary。CC BY 4.0。访问日期：____。

稳定锚点：#summary #facts #timeline #funds #affected #analysis #then #now #sources #cite