广告

OPtimism链的Quixotic项目遭受黑客事件分析

2022年7月1日,成都链安链必应-区块链安全态势感知平台舆情监测显示,OPtimism链的Quixotic项目遭受黑客攻击,黑客获利847个BNB。成都链安安全团队对事件进行了分析,结果如下。


事件相关信息

据悉,Quixotic 是一个可以使用ERC20代币和NFT进行买卖的平台,本次攻击事件发生后,平台目前所有市场活动都已暂停。

•攻击者地址

攻击者:

0x0A0805082EA0fc8bfdCc6218a986efda6704eFE5

攻击者合约:

0xbe81eabdbd437cba43e4c1c330c63022772c2520

•攻击交易

0xcdfb8b3cbe85452192196713f371e3afdeb908c3198f0eec334beff9462ab5df

0x1b0fd785391f804a373575ace3e81a28f4a35ade934c15b5dc62ddfbbde659b4

•被攻击合约:

0x065e8A87b8F11aED6fAcf9447aBe5E8C5D7502b6

#攻击过程

1. 攻击者先创建NFT攻击合约,如图所示。

2.因为用户将ERC20代币过度授权给了ExchangeV4(被攻击合约),并且ExchangeV4合约存在漏洞。导致攻击者利用ExchangeV4合约的fillSellOrder函数进行NFT订单创建通过向用户出售攻击合约中的NFT来转移用户向ExchangeV4合约授权的代币。


3.攻击完成后,攻击者将所盗资产转移至Tornado.Cash。

漏洞分析

本次攻击主要利用了在ExchangeV4合约中创建的NFT订单地址可以被指定,并且在交易中只验证了卖方签名就进行转账,导致用户在有向ExchangeV4进行ERC20代币授权的情况下,攻击者可以创建自己的NFT单方面进行交易,将虚假的NFT转移给用户换出用户向ExchangeV4合约授权的代币。

在fillSellOrder函数中,攻击者可以指定出售的NFT地址,并且在验证中只验证了攻击者的签名,而未验证买方的签名。那么攻击者可以通过验证,并在调用_fillSellOrder函数时,将攻击合约的NFT转移给买方,并执行_sendERC20PaymentsWithRoyalties函数转移买方向合约授权的ERC20代币

资金追踪

截止发文时,攻击者获利约847个BNB,当前攻击者已将所盗资金向Tornado.Cash转移。

总结

针对本次事件,成都链安安全团队建议:

1.在实现签名交易的功能时,需要验证买卖双方的签名。

2.用户需要避免过度授权保证财产安全。

3.项目上线前,建议选择专业的安全审计公司进行全面的安全审计,以规避安全风险。

24小时热点

比特币触及7.3万美元后回到6.1万美元,历经大起大落

比特币触及7.3万美元后回到6.1万美元,历经大起大落 ...

404

波场区块链浏览器

链圈百科:欧易web3钱包是什么?

欧易web3钱包(Erc20 web3 Wallet)是一种 ...

139944

Gemini 交易所

区块链的六大层级结构

一、技术层 技术层是区块链的最底层,是最重要的核心技术 ...

149508

网易星球

重拳打击上市公司财务造假 案件呈四大特点

证监会4月24日消息,2019年以来,证监会严厉打击上市公司 ...

29787

虎符

一个人进了传销的征兆

一、莫名其妙地拜访老朋友 有的人突然起来变得很说不出话来, ...

57923

Solanat

辛国斌出席“创客中国”中小企业创新创业大赛全国总决赛

2020年10月15日,由工业和信息化部、财政部共同主办的2 ...

13868

CryptoQuant

01-27发布:区块链网评分降幅日榜

01-27发布:区块链网评分降幅日榜 第一名:BT ...

3424

区块链财经

比特币的下一次牛市将在何时到来?

比特币的价格在2021年爆发,4月突破60,000美元,11 ...

20373

红洞数藏

前五月轻工业累计营收近7万亿

本报北京7月9日电 (记者韩鑫)近日,中国轻工业联合会公布 ...

16012

EOSPark

11-9发布:区块链网评分降幅日榜

11-9发布:区块链网评分降幅日榜 第一名:PRA ...

8057

白话区块链
广告

热点专题

专门忽悠企业家的中国十大骗子大师

区块链网创立于2015年初,为国内第一批有资质的区块链媒体, ...

2737144

希壤

2023年打假总结:Pi Network项目的传销性质Pi币

曾经,号称“走路就能赚钱”拥有大量用户和广泛影响的国内APP ...

2416605

文昌链

国内460种传销币套路和骗子币名单大曝光

打着区块链旗号,以聚集性传销、网络传销为手段,以每枚3元的价 ...

2081479

Coin Metrics

原力元宇宙佛萨奇骗局

原力元宇宙佛萨奇骗局是一种不可思议的幻想计划,它由一群英勇可 ...

1787234

聚币网

诈骗披露:成功学周文强

又一个“成功学”大师周文强翻车 你想一夜暴富吗?你想年薪百 ...

1429765

Lazy Lions

中国十大骗局之pi network(π币、pi币、派币、兀币)

中国十大骗局之pi network(π币、pi币、派币、兀币 ...

1309127

Gemini 交易所

柴犬币SHIB来了

因其可爱形象和马斯克代言,近段时间最耀眼的加密货币非狗狗币莫 ...

1264421

Luart

非常硬核的LP流动性挖矿的核算

MDX不同挖矿方法的真实收益率 如何挖取高APY?2021年 ...

1152358

RMRK

链圈打诈:3000名解放军去缅甸真的假的?

3000名解放军去缅甸这个是假新闻,出兵这是个大问题,如果我 ...

1150578

a16z

什么是去中心化交易所(DEX)?

去中心化交易所是一个基于区块链的交易所,它不将用户资金和个人 ...

1140251

bitFlyer交易所