BOT:深度解析Opensea挂单“漏洞” 公开订单被黑客盯梢

近日Opensea出现了多个低价成交的头部项目,疑似挂单有bug被黑客攻击,黑客通过低价买到头部的NFT项目BoredApeYachtClub等等,再立马高价售出,以此获利数百ETH,以下为分析结果。

先看OS挂单逻辑:出售NFT时授权--》确定价格--》签名--》挂单完成。这时候签名信息会保存在OS的中心化服务器,并且会有API对外开放。

正常交易流程中,买方购买完后这个订单的签名信息就作废。

“被攻击”的情况中,用户在地址A下挂了一个价格为1ETH的NFT卖单,这时候可能会再把NFT转到地址B。后面NFT价格如果涨到了10ETH这个NFT再回到A地址,OS上这个NFT依然会以1ETH的挂单价出现,这时候立马会被人购买,卖家会遭受巨大的差价损失。而买方可以立马转手卖出赚取差价,下面黑客地址就是,低价买入三个BoredApeYachtClub并立马卖出赚取了280ETH,约70万美金。

Gate.io芝麻开门创始人韩林跨海连线顶尖量化团队,深度解读顶级资金安全解决方案:11月7日,Gate.io芝麻开门联合TokenInsight举办的“扬帆三亚,量化未来”为主题的首届海岛穿越赛,顺利闭幕。据官方消息,Gate.io芝麻开门创始人韩林跨海连线,与现场二十余家顶尖量化团队分享了资金安全的顶级解决方案,并深入解读Gate.io在产品规划、技术优势及品牌理念上的独到之处。[2020/11/7 11:56:09]

ChainUP与小蜜蜂交易平台达成深度合作:据官方消息,近日ChainUP与小蜜蜂交易平台达成技术与安全方面的深度合作,ChainUP将提供技术咨询、7*24小时运维、风控监测等服务,为小蜜蜂平台提供技术与安全双重保障,并于今日正式上线。

小蜜蜂总部位于新加坡,是完善生态闭环的数字资产交易综合服务平台,坚守“用户利益第一”原则。小蜜蜂平台旨在推动区块链技术真正全面地落地应用,向专业机构投资者和高净值客户提供交易、清算、ETF、杠杆、OTC、资产管理等一站式综合数字货币金融服务。

ChainUP区块链技术服务商,目前已为全球500多家客户提供了区块链技术服务,覆盖美国、英国、加拿大、澳大利亚、日本、新加坡、马来西亚、泰国等30多个国家和地区。[2020/9/26]

这个问题对NFT交易平台方有点棘手:OS把订单信息开放在了API中,公开透明,科学家可以通过API拿到订单信息。所以上文中的这个NFT一旦回到A地址,就存在被立马买走的风险。就算OS的功能立马调整,不再展示1ETH的卖单信息,又或者是直接从数据库删除order信息,都解决不了这个问题。

云南省省长:推动区块链等信息技术与实体经济深度融合:3月5日,云南省全省加大投资促进发展电视电话会议在昆明召开。省委副书记、省长阮成发指出,要抓好数字经济投资,抢抓疫情催生线上新业态发展的机遇,加快5G网络基础设施建设,推动互联网、大数据、人工智能、区块链等信息技术与实体经济深度融合,大力培育新业态、新动能。(云南发布)[2020/3/5]

并且现在关闭API也解决不了这个问题,之前存量的挂单信息可以视为已经完全泄露。而且可以从OS界面用爬虫爬出order信息。所以只要准备足够充分,NFT再次回到A地址,黑客可以在任何地方以1ETH买走这个NFT。

当然平台可以在用户转走NFT的时候提醒cancelorder,这个操作后将作废掉之前挂单的签名信息,但会上链消耗GASFee,挂单多次需取消多次。Opensea的撮合合约里也没有一次取消多个order的方法,这是其他OS竞品交易市场可以进行优化的功能。可以一键取消多个挂单,减少用户操作,不过GASFee肯定是少不了的。

平台提醒目前看来是一个比较简单快速的方式,但是是用户也可以在其他平台直接转走NFT。比如我在OS挂了个卖单,我也可以imToken、Looksrare、Mintverse等其他平台直接转走NFT。总结一下就是没法保证NFT挂单签名信息百分百和NFT转移一起失效。这个问题对NFT交易平台来说有点无解,不仅仅是OS,任何NFT交易平台都一样。除非是中心化的交易平台,所以对平台来说只能不断的提醒引导用户,提高用户风险意识。

对用户而言,如果知道这个漏洞后注意别再把NFT转回到之前的地址就没问题。不过这个行业用户知识水平参差不齐,转错ERC20到合约地址的情况都时有发生,NFT这个问题个人觉得后面也会一直有。也有用户在挂了卖单情况下去进行质押之类的操作,这种情况取回来只能到原地址。这种情况如果有价格差,肯定有被撸走的风险。如果有这种情况的用户,可用先取消掉授权,再取回NFT。

2022肯定还会出现一大批NFT交易市场,数据完整性,实时性,准确性;产品安全性,可用性,稳定性;肯定会成为未来NFT交易市场的竞争点。用户也需要提高安全意识,保管好自己宝贵的NFT。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

币安app官网下载MET:2022年第一季度市场行情判断

前言 对数字货币市场一季度走势研判,在比较敏感的现阶段,美国货币政策的松紧程度,减债、加息、缩表、通胀等词汇紧紧牵动着投资者的神经,数字货币市场作为近些年的新兴市场,难免也受波及.

[0:15ms0-3:544ms