首页>财经 > 正文
环球百事通!SharkTeam独家分析 | NFT流动性市场安全问题频发—NFT交易平台Quixotic被黑事件分析
来源: SharkTeam 发布于:2022-07-05 05:40:25

7月1日,Optimism生态最大NFT交易平台Quixotic智能合约出现漏洞,黑客利用该漏洞盗取了大量用户的资产

近期NFT流动性市场安全问题频发。SharkTeam第一时间对此事件进行了技术分析,并总结了安全防范手段,希望后续项目可以引以为戒,共筑区块链行业的安全防线。


(资料图片仅供参考)

一、事件分析

攻击者地址:0x0a0805082ea0fc8bfdcc6218a986efda6704efe5,简记为0x0a08

攻击合约地址:0xbe81eabdbd437cba43e4c1c330c63022772c2520,简记为0xbe81

被攻击合约地址:0x065e8a87b8f11aed6facf9447abe5e8c5d7502b6,简记为0x065e

攻击者在创建了攻击合约后,通过攻击合约发起了大量的攻击交易,攻击了很多用户,盗取的资产以WETH和Optimism(OP)为主。以第一笔攻击交易为例进行分析,分析内容如下:

txHash: 0xfdee36012cbeb26d37a857a4bb1937ce0b30379a25198735089c75cfd3ea799a

该交易中,攻击者盗取了0.0975 WETH,调用的函数与参数如下:

交易由攻击者地址0x0a08发起,调用了被攻击合约0x065e中的fillSellOrder函数,其中参数contractAddress实际攻击合约地址0xbe81。

fillSellOrder函数如下:

validateSellerSignature函数如下:

这里_validateSellerSignature并没有校验参数sellOrder中的contractAddress,因此攻击者传入的是自定义的合约地址,即攻击合约地址

_fillSellOrder函数如下:

这里在转移NFT时,调用了参数contractAddress对应的NFT合约中的转移函数,在调用该函数前必须要用户进行授权,攻击者完全可以自定义该函数将用户授权的所有代币提取到自己的账户,包括ERC721、ERC1155、ERC20等多种类型。这里攻击者只能提取用户授权的代币。

综上所述,本次安全事件发生的根本原因在于合约本身存在漏洞,用户的过度授权给了黑客可乘之机。

二、安全建议

引发本次安全事件的根本原因是合约对于地址型参数缺少校验以及用户的过度授权。因此,我们建议无论是项目方还是用户都要提高安全意识,尽可能的避免合约漏洞。在代币授权的时候要谨慎而行,尽可能地将授权的代币种类和数量降低到最小。

三、关于我们

SharkTeam的愿景是全面保护Web3世界的安全。团队成员分布在北京、南京、苏州、硅谷,由来自世界各地的经验丰富的安全专业人士和高级研究人员组成,精通区块链和智能合约的底层理论,提供包括智能合约审计、链上分析、应急响应等服务。已与区块链生态系统各个领域的关键参与者,如Huobi Global、OKC、polygon、Polkadot、imToken、ChainIDE等建立长期合作关系。

Web:https://www.sharkteam.org

Telegram:https://t.me/sharkteamorg

Twitter:https://twitter.com/sharkteamorg

Reddit:https://www.reddit.com/r/sharkteamorg

更多区块链安全咨询与分析,点击下方链接查看

D查查|链上风险核查https://m.chainaegis.com

关键词: 安全问题 根本原因 交易平台

猜你喜欢

  • 天天即时看!景区开启人从众模式,何必人挤人,买台哈趣K1在家纳凉观影不好吗!
  • 天天新消息丨兄弟MFC-J3940DW打印机评测:彩色A3 细致成像
  • b站视频怎么保存在手机本地?b站一个硬币up主能得多少钱?
  • 全球快资讯丨京东居家携全链路业务亮相深圳家具展 覆盖供应链、服务、设计三大板块
  • 西方文明的发源地在哪?西方文明的三大支柱是什么?
  • 全球今热点:自动上下水成扫地机器人功能标配,云鲸打造上门服务新标杆
  • 世界热头条丨COLMO构建全屋智能新图景,“墅智专家”让智控更高端
  • 暴雨的降水量是多少毫米?降水量是怎么计算的?
  • 世界信息:一加 Ace Pro 至高配备 16GB 超大内存,打造行业流畅新体验
  • 当前热点-未来新冠疫苗或是鼻腔喷雾甚至一张贴片?福奇希望疫苗更多创新
  • 今日关注:iPhone二季度在印度出货120万部 本地产iPhone接近100万部
  • 【焦点热闻】东方甄选户外直播画风变了:俞敏洪吃桃子 董宇辉聊诗词
  • 每日焦点!助力乡村振兴,润初妍10周年携近千名经销商走进宏村
  • 《暗黑破坏神2重制版》遭俄罗斯黑客团队破解 联网模式将不再支持MOD
  • 联动狂魔《糖豆人》携手《WWE》 将于7月28日推出限时售卖皮肤
  • 官方发布《间谍过家家》第二部分先导预告 预计将于10月开播
  • 2022年国产游戏销量排行榜公布 《暖雪》获得上半年最畅销新游
  • 《雷神4》曝光海量原始概念设计图 电影全球票房创全系列新高
  • 今天是日本西瓜姐 《炼金工房》发布官图邀请你和莱莎一起吃瓜
  • 从此网络直播间使用BGM需付费!试行付酬标准现已出炉