安全实验室?监测到?Arbitrum?上?TreasureDAO?的NFT交易市场出现多次异常交易,黑客通过漏洞免费获取交易市场中部分NFT。知道创宇区块链安全实验室将对本次事件深入跟踪并进行分析。
事件分析
基础信息
攻击交易哈希：0x57dc8e6a28efa28ac4a3ef50105b73f45d56615d4a6c142463b6372741db2a2b
TreasureMarketplace：0x2E3b85F85628301a0Bce300Dee3A6B04195A15Ee
PAX Treasury在以太坊网络增发约2198万枚BUSD:Whale Alert数据显示，北京时间7月28日09:128，PAX向以太坊网络增发21,989,371枚BUSD，交易哈希为0xb3ed72a2676a4a462fb7a38f3675b6e222d0c10ed8cca5003225a247fac96cd2。[2020/7/28]
TreasureMarketplaceBuyer：0x812cdA2181ed7c45a35a691E0C85E231D218E273
分析 | Bittrex超4.8万枚BTC转账或是正常的钱包管理:北京链安链上监测系统发现，北京时间10月29日，05:30，交易所Bittrex发生了一笔48571枚BTC的转账，这笔巨额BTC从交易所冷钱包转入到Bittrex主力热钱包后，于凌晨06:13将43652枚BTC转入一个于9月23日创建的Bittrex控制的地址，接着其主力热钱包又将5000枚BTC转入3QiX3x开头地址，从该地址行为表现来看应为服务于用户提币的热钱包，这一系列行为也是Bittrex正常的钱包管理策略。
此前交易所官方渠道已经通知了相关信息，事实上在过去几个小时，Bittrex其它币种也发生了多次大额转账，都属于正常的交易所行为。[2019/10/29]
攻击流程
动态 | Bittrex交易所推出首个完全受监管的ICCO:据medium消息，加密货币交易所Bittrex与Palladium及Unikrn合作，提供首个完全受监管的ICCO（初始可转换代币产品）。此项ICCO将有望缩小差距，允许机构投资者安全地投资加密货币，并允许他们使用“符合法规的多资产账户管理法定货币和加密货币”。发行该代币化可转换认股权证已经获得马耳他金融服务管理局（MFSA）的批准，并将遵守欧盟严格的规定。Palladium交易所希望通过此ICCO募集1.5亿欧元的资金。[2018/7/11]
攻击者调用?TreasureMarketplaceBuyer?合约的?buyItem?函数进行购买NFT的操作，但是我们从InputData中可以看出攻击者传入的?_quantity?参数为0。虽然传入的购买NFT数量为0，但是攻击者依然成功的获得了一枚编号为的NFT，且TokensTranferred中并未进行代币转移。
攻击核心
根据上述分析，问题核心可能出现在TreasureMarketplaceBuyer?合约的buyItem?函数。跟进分析后发现，用户调用该函数后合约首先计算出用户购买此NFT的价格，根据购买数量计算出总的价格并将所需支付的代币转入合约；然后调用?TreasureMarketplace?的?buyItem?将用户需要购买的NFT从Marketplace购买到TreasureMarketplaceBuyer?最后将NFT发送到用户账户。观察合约43-46行发现对ERC-721标准的NFT转移并未对其进行数量判断，若此时的?_quantity?为0，用户依然会收到NFT。
跟进?TreasureMarketplace?的?buyItem?函数发现，合约从市场回购NFT时只需完成listedItem.quantity>=_quantity?的限制条件后便开始转移NFT到TreasureMarketplaceBuyer合约，若此时的?_quantity为0，依然会转移NFT到TreasureMarketplaceBuyer中。
根据上述分析后发现，当攻击者调用?TreasureMarketplaceBuyer?合约的?buyItem?函数进行购买NFT时，若参数_quantity值为0，由于合约并没有对NFT转移数量的判断，且计算价格?totalPrice=_pricePerItem*_quantity?结果为0，最后导致攻击者能够免费获取该交易市场中ERC-721标准的NFT。
总结
这次攻击产生的主要原因是项目方对NFT转移数量并未做足够的判断，且并未考虑到购买数量为0的恶意购买行为。知道创宇区块链安全实验室?在此提醒，任何有关代币转移的操作都需要慎重考虑，合约审计、风控措施、应急计划等都有必要切实落实。
参考链接：
knownseclab.com
knownseclab.com/hacked-archive
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。