NEAR Intents protokolünden 1 Ekim’de çalınan 3,8 milyon dolar, CEO Alex Shevchenko’nun sosyal medya üzerinden yayınladığı 48 saatlik ultimatomunun ardından hacker tarafından iade edildi. Soruşturma sonlandırılırken, fonların on-chain hareketleri ve güvenlik açığının detayları netleşiyor.
Çapraz zincir (cross-chain) takas protokolü NEAR Intents, kasalarından çalınan 3,8 milyon dolar değerindeki fonun tamamının iade edildiğini duyurdu. Protokolün CEO'su Alex Shevchenko tarafından 2 Ekim 2026 tarihinde yapılan açıklamaya göre, saldırgan kendisine tanınan 48 saatlik süre dolmadan varlıkları protokole geri gönderdi.
BNB Chain Üzerindeki Vurgun ve On-Chain Hareketler
Olay, 30 Eylül ile 1 Ekim 2026 gecesi (UTC) gerçekleşti. Bitquery verilerine göre, BNB Chain üzerinde bulunan bir NEAR Intents kasasından beş ayrı işlemle toplam 3,87 milyon dolarlık USDT çekildi. Saldırı öncesinde 10 ve 11 USDT'lik iki test işlemi gerçekleştirildiği, asıl çekimlerin ise yaklaşık altı saatlik bir zaman dilimine yayıldığı tespit edildi.
On-chain veri analitiği, çalınan fonların hızla farklı varlık ve platformlara yönlendirildiğini ortaya koydu. 1 Ekim saat 14:30 UTC itibarıyla ganimetin %76'sının (34,69 BTC) dört farklı cüzdanda Bitcoin'e dönüştürüldüğü, %21'lik kısmının ise (yaklaşık 802.000 dolar) KuCoin borsasındaki deposit adreslerine ulaştığı belirlendi. On-chain araştırmacısı ZachXBT de KuCoin geçişini ve ardından Bitcoin'e yönelimi doğrulayan bulgular paylaşmıştı. Ayrıca Bitquery, saldırı esnasında yaklaşık 822.000 dolar değerinde varlığın bizzat NEAR Intents protokolü üzerinden otomatik takaslarla el değiştirdiğini kaydetti.
Güvenlik Açığı ve Ultimatom Süreci
NEAR Intents ekibi, saldırının Omni para yatırma/çekme katmanı ile fonları barındıran ana akıllı sözleşme arasındaki bir etkileşim hatasından kaynaklandığını açıkladı. Yaşanan ihlalin ardından operasyonlarını geçici olarak askıya alan protokol, tam tazminat güvencesi vereceğini ve yetkililerle iletişime geçildiğini duyurmuştu.
Protokolün CEO'su Alex Shevchenko, saldırganın kimliğini tespit ettiklerini belirterek X hesabı üzerinden 48 saatlik bir sorumluluk ve ifşa ultimatumu yayınladı. Sürenin dolmasına kısa süre kala Shevchenko, fonların eksiksiz olarak iade edildiğini ve soruşturmanın kapatıldığını duyurdu. Saldırgana ait olduğu düşünülen ve bir işlem notuyla iletilen mesajda ise hatanın kabul edildiği ve hata ödül programlarına yönlendirildiği görüldü.
Çözülmeyen Sorular ve Rapor Beklentisi
Fonların iadesi krizi tatlıya bağlasa da, dosyadaki bazı soru işaretleri gizemini koruyor. Saldırganın kimliği ve ekibin bu kimliği hangi yöntemle tespit ettiği kamuoyuyla paylaşılmadı. Benzer şekilde, fonların neden iade edildiğine dair resmi ve net bir motivasyon gerekçesi açıklanmadı.
Öte yandan, NEAR Intents yönetimi tarafından 1 Ekim'de duyurulan detaylı teknik rapor henüz yayımlanmış değil. 35 farklı blokzinciri kapsayan geniş bir altyapıya sahip olan protokolün güvenlik mimarisindeki bu zafiyetin kalıcı olarak giderilip giderilmediği ve Eylül ayındaki diğer büyük çaplı sektör korsanlıklarıyla bir bağı olup olmadığı, ilerleyen günlerde yayımlanacak teknik raporla netlik kazanacak. Protokol, Bitget'in 24 Eylül'deki 387,5 milyon dolarlık soygunu sonrasında bazı transfer girişimlerini bloke ettiğini iddia etse de, iki olay arasında doğrudan bir bağlantı olduğuna dair resmi bir bulgu bulunmuyor.
