2022 年 03 月 03 日,据慢雾区消息,TreasureDAO 的 NFT 交易市场被曝出严重漏洞,TreasureDAO 是一个基于 Arbitrum(L2)上的 NFT 项目。目前项目团队正在修复漏洞并承诺会对受影响的用户提供解决方案。慢雾安全团队第一时间介入分析,并将结果分享如下:
相关信息
合约地址
TreasureMarketplaceBuyer:
0x812cda2181ed7c45a35a691e0c85e231d218e273
TreasureMarketplace:
0x2e3b85f85628301a0bce300dee3a6b04195a15ee
漏洞细节分析
1. 用户通过 TreasureMarketplaceBuyer 合约中的 buyItem 函数去购买 NFT,该函数会先计算总共需要购买的价格并把支付所需的代币打入合约中,接着调用 TreasureMarketplace 合约中的 buyItem 从市场购买 NFT 到? TreasureMarketplaceBuyer ?合约,接着在从 TreasureMarketplaceBuyer 合约中把 NFT 转给用户。
Epic Games Store首次上线NFT游戏:金色财经报道,游戏巨头Epic Games旗下应用商城Epic Games Store首次上线NFT游戏,根据Gala Game发布的声明称,“大逃杀”游戏Grit已在 Epic Games Store 上呈现给游戏玩家,Gala Game官方社交媒体账号也发文证实了相关消息。据悉,Grit这款游戏首次出现于 2021 年,起初在Steam上推出,在经历了一段沉寂后现在以区块链游戏形式重新出现。(thenerdstash)[2022/6/7 4:07:06]
2. 在 TreasureMarketplace?合约中:
成都成华区成立以区块链算力为特色的区块链产业园:金色财经现场报道,8月22日,在成都举办的“全球区块链算力大会暨新基建矿业峰会”上,成都成华区成立以区块链算力为特色的区块链产业园,成都将通过整合算力、芯片、区块链应用等企业资源,在成都打造中国西南地区区块链应用示范基地。成华区区块链产业园将持续引进芯片设计、芯片制造、分布式存储技术研发、云算力等衍生产品、区块链钱包、物联网设备、超算中心等区块链算力产业上下游企业,助力成都成为全球各大区块链算力公司总部所在地、“全球算力之都”总基地。[2020/8/22]
可以发现若传入的 _quantity 参数为 0,则可以直接通过 require(listedItem.quantity >= _quantity, "not enough quantity"); 检查并进入下面的转移 NFT 流程,而其中没有再次对 ERC-721 标准的 NFT 转移进行数量判断,使得虽然传入的 _quantity 参数虽然为 0,但仍然可以转移 ERC-721 标准的 NFT。而计算购买 NFT 的价格的计算公式为 totalPrice = _pricePerItem * _quantity,因此购买 NFT 的价格被计算为 0,导致了在市场上的所有 ERC-721 标准的 NFT 均可被免费购买。
攻击交易分析
此处仅展示一个攻击交易的细节,其余攻击交易的手法都一致,不再赘述。
攻击交易:
https://arbiscan.io/tx/0x82a5ff772c186fb3f62bf9a8461aeadd8ea0904025c3330a4d247822ff34bc02
攻击者:
0x4642d9d9a434134cb005222ea1422e1820508d7b
攻击细节:
可以从下图中看到,攻击者调用了 TreasureMarketplaceBuyer 合约中的 buyItem 函数,并使传入的 _quantity 参数为 0。
可以看到代币转移均为 0,攻击者并没有付出任何成本就成功购买了 tokenID 为 3557 的 NFT,整个攻击流程与上面的漏洞细节分析中所讲的一致。
总结
本次漏洞的核心在于进行 ERC-721 标准的 NFT 转移前,缺少了对于传入的 _quantity 参数不为 0 的判断,导致了 ERC-721 标准的 NFT 可以直接被转移且计算价格时购买 NFT 所需费用被计算成 0。针对此类漏洞,慢雾安全团队建议在进行 ERC-721 标准的 NFT 转移前,需对传入的数量做好判断,避免再次出现此类问题。
我最近有机会见到了一些考虑进入 web3 的优秀 web2 创始人。 Web3 现在很流行,因此重要的是要消除噪音并突出强调正确的长期理由来启动 web3 项目。 以下是构建 web3 项目的一些充分理由: 维基百科只是比传统百科全书更好的百科全书,因为它利用了社区的知识和创造力。
原文标题:《Explaining Vietnam’s crypto boom》 Nam Nguyen于 2021年3月加入加密热潮,并且已经投资了约3000美元了。他说,作为一个新手,实际上也有一点特别的优势。“我看的不多,所以有点‘无知者无畏’,在投资时比较果断。” Nam最终从加密货币中赚到了足够的钱来拯救他在越南胡志明市的餐厅。
2022年2月14日,全美收视率最高的电视节目——超级碗播出。今年超级碗最大的亮点是Snapchat、Arcadia和Verizon合作为现场观众增加的AR体验。 疫情下,由于现场人数的限制,不少用户都在Snapchat上远程观看了表演。根据Snapchat数据显示,有超过5900万美国用户在周日的超级碗比赛中使用了AR滤镜。
一战成名NFT NFT 头像是通过算法生成的卡通或像素化角色的数字图像,通常从肩膀向上,采用“个人资料图片”格式。每个 NFT 化身都是完全独特的,具有一系列不同的特征(即服装、发型、配饰等)。化身可以是卡通动物、人类或抽象生物,具有奇幻和科幻元素。
全国两会召开在即,近日2022年全国31个省区市两会全部闭幕。 与过去两年一样,区块链多次被提及。据不完全统计,目前有16个省份的政府工作报告中,明确提到发展区块链相关的产业。 北京市政府工作报告在2022年主要任务中指出, 加快释放数字经济新活力。深入落实数字经济标杆城市建设实施方案,完善支持政策,加强算力算法平台等新型基础设施建设。
金色财经报道 区块链3月5日讯? “海外版淘宝”eBay近日惊现“无聊猿”Bored Ape Yacht Club (BAYC) NFT的仿品,它们的售价仅为 34.99 英镑(47 美元)。这些仿品为了吸引眼球,均打出了带有“BAYC”字样的招牌,并且与原版“无聊猿”也有着惊人的相似之处。