BTC/HKD+2.29%
ETH/HKD+1.1%
LTC/HKD-0.24%
DOT/HKD-1.18%
ADA/HKD+0.22%
SOL/HKD+0.16%
XRP/HKD+2.88%
DOGE/US+0.51%安全實驗室?監測到?Arbitrum?上?TreasureDAO?的NFT交易市場出現多次異常交易,黑客通過漏洞免費獲取交易市場中部分NFT。知道創宇區塊鏈安全實驗室將對本次事件深入跟蹤并進行分析。
事件分析
基礎信息
攻擊交易哈希：0x57dc8e6a28efa28ac4a3ef50105b73f45d56615d4a6c142463b6372741db2a2b
TreasureMarketplace：0x2E3b85F85628301a0Bce300Dee3A6B04195A15Ee
Trezor和Wasabi達成合作將CoinJoin引入硬件錢包:金色財經報道，加密錢包Trezor與隱私項目Wasabi達成合作，將CoinJoin引入其硬件錢包上的比特幣交易中，從明年開始，用戶將能夠在他們的 Trezor 設備上使用 CoinJoin，以獲得更大的交易隱私。Wasabi Wallet是一款流行的比特幣錢包，由軟件公司zkSNACKs使用 CoinJoin技術開發，本次合作目標是讓Trezor Suite用戶能夠直接從他們的硬件錢包中發送隱私Token。（decrypt）[2022/9/6 13:10:37]
TreasureMarketplaceBuyer：0x812cdA2181ed7c45a35a691E0C85E231D218E273
Bittrex提醒用戶釣魚郵件風險:據Bittrex官方消息，最近有人以 \"Bittrex Beta 應用程序\" 冒充Bittrex發送郵件。Bittrex警告用戶稱，如果收到此類郵件，請直接刪除，不要點擊電子郵件中的鏈接或分享任何個人信息。[2018/6/13]
攻擊流程
攻擊者調用?TreasureMarketplaceBuyer?合約的?buyItem?函數進行購買NFT的操作，但是我們從InputData中可以看出攻擊者傳入的?_quantity?參數為0。雖然傳入的購買NFT數量為0，但是攻擊者依然成功的獲得了一枚編號為的NFT，且TokensTranferred中并未進行代幣轉移。
Google Trends：“Bitcoin”搜索量自2018年初起下降75％:據CNBC6月4日報道，根據Google Trends的數據，在Google上“Bitcoin”這個詞的搜索量自2018年年初起下降了75%，在最近的三個月內下降了一半。其他加密貨幣的搜索量也大幅下降，其中以太幣下降70%，比特幣現金下降82%。[2018/6/5]
攻擊核心
根據上述分析，問題核心可能出現在TreasureMarketplaceBuyer?合約的buyItem?函數。跟進分析后發現，用戶調用該函數后合約首先計算出用戶購買此NFT的價格，根據購買數量計算出總的價格并將所需支付的代幣轉入合約；然后調用?TreasureMarketplace?的?buyItem?將用戶需要購買的NFT從Marketplace購買到TreasureMarketplaceBuyer?最后將NFT發送到用戶賬戶。觀察合約43-46行發現對ERC-721標準的NFT轉移并未對其進行數量判斷，若此時的?_quantity?為0，用戶依然會收到NFT。
跟進?TreasureMarketplace?的?buyItem?函數發現，合約從市場回購NFT時只需完成listedItem.quantity>=_quantity?的限制條件后便開始轉移NFT到TreasureMarketplaceBuyer合約，若此時的?_quantity為0，依然會轉移NFT到TreasureMarketplaceBuyer中。
根據上述分析后發現，當攻擊者調用?TreasureMarketplaceBuyer?合約的?buyItem?函數進行購買NFT時，若參數_quantity值為0，由于合約并沒有對NFT轉移數量的判斷，且計算價格?totalPrice=_pricePerItem*_quantity?結果為0，最后導致攻擊者能夠免費獲取該交易市場中ERC-721標準的NFT。
總結
這次攻擊產生的主要原因是項目方對NFT轉移數量并未做足夠的判斷，且并未考慮到購買數量為0的惡意購買行為。知道創宇區塊鏈安全實驗室?在此提醒，任何有關代幣轉移的操作都需要慎重考慮，合約審計、風控措施、應急計劃等都有必要切實落實。
參考鏈接：
knownseclab.com
knownseclab.com/hacked-archive
TheLockAOG&Earn#2(term14days)willlaunchat8:00UTConMar9atGate.io''s“HODL&Earn”section.
1900/1/1 0:00:00尊敬的AAX用戶： AAX於2022年2月18日17：00-2022年2月27日17：00舉辦的“第二期猜漲跌,五連勝贏取30USDT”活動現已圓滿結束,獎勵已發放至獲獎用戶賬戶.
1900/1/1 0:00:00一、項目介紹 DEAPcoin來自DEA,一家總部位于新加坡的基于區塊鏈的多媒體數字娛樂集團,發行NFT并提供原創游戲JobTribes,其成員是區塊鏈游戲協會的一部分,并提供GameFi服務.
1900/1/1 0:00:00原文來源：AlΞxTsu 原文編譯：DeFi之道 我從EthDenver回家已經一個多星期了。受到推進這一領域的建設者們的啟發,我很愿意分享我所學到的東西.
1900/1/1 0:00:002021年對于THORChain(RUNE)來說是大起大落的一年,其價格最高為21.28美元,但由于一系列黑客攻擊和DeFi熱度退去導致該代幣在2022年一蹶不振,最低跌至4美元以下.
1900/1/1 0:00:00本文來自Decrypt,原文作者：JeffBensonOdaily星球日報譯者|念銀思唐據彭博社報道,一位熟悉情況的知情人士透露.
1900/1/1 0:00:00
以太幣交易所
