安全实验室?监测到?Arbitrum?上?TreasureDAO?的NFT交易市场出现多次异常交易,黑客通过漏洞免费获取交易市场中部分NFT。知道创宇区块链安全实验室将对本次事件深入跟踪并进行分析。
事件分析
基础信息
攻击交易哈希：0x57dc8e6a28efa28ac4a3ef50105b73f45d56615d4a6c142463b6372741db2a2b
TreasureMarketplace：0x2E3b85F85628301a0Bce300Dee3A6B04195A15Ee
Theta Network：部分Trezor用户在Theta Web Wallet上发送交易遇到问题，开发团队正在解决:9月18日消息，去中心化视频交付网络Theta Network表示，对于在Theta Web Wallet上发送交易有问题的Trezor用户，Theta开发团队正在尽快解决这个问题。用户代币没有风险，因为它们安全地保留在Trezor设备上。如果用户需要立即访问，可以Trezor助记词导入到Ledger设备，然后使用Theta Web 钱包访问Theta钱包地址。[2021/9/18 23:35:10]
TreasureMarketplaceBuyer：0x812cdA2181ed7c45a35a691E0C85E231D218E273
USDC Treasury在以太坊网络增发约1919.5万枚USDC:金色财经报道，Whale Alert数据显示，北京时间9月2日05:06，USDC Treasury在以太坊网络上增发19195008枚USDC。增发哈希为：0xf9fee6c3a1a729714e2b07751b23aca0cddefbbef0415b01f0dcade449b94125。[2020/9/2]
攻击流程
攻击者调用?TreasureMarketplaceBuyer?合约的?buyItem?函数进行购买NFT的操作，但是我们从InputData中可以看出攻击者传入的?_quantity?参数为0。虽然传入的购买NFT数量为0，但是攻击者依然成功的获得了一枚编号为的NFT，且TokensTranferred中并未进行代币转移。
动态 | Blockstream计划更新Liquid以减少交易费用:金色财经报道，Blockstream产品副总裁Allen Piscitello最近表示，其Liquid网络上的交易费用在0.01美元到0.15美元之间，不过他们计划更新网络软件，进一步降低费用。相比之下，比特币和以太坊的交易费用在0.10美元到5美元之间。[2019/12/17]
攻击核心
根据上述分析，问题核心可能出现在TreasureMarketplaceBuyer?合约的buyItem?函数。跟进分析后发现，用户调用该函数后合约首先计算出用户购买此NFT的价格，根据购买数量计算出总的价格并将所需支付的代币转入合约；然后调用?TreasureMarketplace?的?buyItem?将用户需要购买的NFT从Marketplace购买到TreasureMarketplaceBuyer?最后将NFT发送到用户账户。观察合约43-46行发现对ERC-721标准的NFT转移并未对其进行数量判断，若此时的?_quantity?为0，用户依然会收到NFT。
跟进?TreasureMarketplace?的?buyItem?函数发现，合约从市场回购NFT时只需完成listedItem.quantity>=_quantity?的限制条件后便开始转移NFT到TreasureMarketplaceBuyer合约，若此时的?_quantity为0，依然会转移NFT到TreasureMarketplaceBuyer中。
根据上述分析后发现，当攻击者调用?TreasureMarketplaceBuyer?合约的?buyItem?函数进行购买NFT时，若参数_quantity值为0，由于合约并没有对NFT转移数量的判断，且计算价格?totalPrice=_pricePerItem*_quantity?结果为0，最后导致攻击者能够免费获取该交易市场中ERC-721标准的NFT。
总结
这次攻击产生的主要原因是项目方对NFT转移数量并未做足够的判断，且并未考虑到购买数量为0的恶意购买行为。知道创宇区块链安全实验室?在此提醒，任何有关代币转移的操作都需要慎重考虑，合约审计、风控措施、应急计划等都有必要切实落实。
参考链接：
knownseclab.com
knownseclab.com/hacked-archive
标签：NFTREASURBUYINFTEEVirtual Reality Game Worldinsur币在几个交易所交易Elon Buys Twitter
DataSource:FootprintAnalyticsDEXTokenDashboard据FootprintAnalytics的数据.
1900/1/1 0:00:00“波卡知识图谱”是我们针对波卡从零到一的入门级文章,我们尝试从波卡最基础的部分讲起,为大家提供全方位了解波卡的内容,当然这是一项巨大的工程,也充满了挑战.
1900/1/1 0:00:00NFT?数据日报是由Odaily星球日报与?NFT?数据整合平台NFTGO.io合作的一档栏目,旨在向NFT爱好者与投资者展示近24小时的NFT市场整体规模、交易活跃度、子领域市占比.
1900/1/1 0:00:003月4日,有用户在社交媒体表示自己在委内瑞拉无法使用MetaMask钱包,查明原因,发现是API服务商Infura出现了问题.
1900/1/1 0:00:00關於Gate.ioStartup免費空投計劃爲回饋平臺用戶,Gate.io上線“免費空投計劃”,在Startup區不定期進行區塊鏈項目的免費空投計劃.
1900/1/1 0:00:00公告编号2022030402各位關心ZBG的投資者們和項目方：ZBG將於HKT2022年3月4日上線WTF項目,並開放WTF/USDT交易對,具體時間如下,請投資人和項目方提前做好交易準備.
1900/1/1 0:00:00
木星链