环球资讯:OPtimism链的Quixotic项目遭受黑客事件分析#攻击过程

2022-07-03 05:43:05     来源:全球财富网

2022年7月1日,成都链安链必应-区块链安全态势感知平台舆情监测显示,OPtimism链的Quixotic项目遭受黑客攻击,黑客获利847个BNB。成都链安安全团队对事件进行了分析,结果如下。

事件相关信息

据悉,Quixotic 是一个可以使用ERC20代币和NFT进行买卖的平台,本次攻击事件发生后,平台目前所有市场活动都已暂停。


(相关资料图)

•攻击者地址

攻击者:

0x0A0805082EA0fc8bfdCc6218a986efda6704eFE5

攻击者合约:

0xbe81eabdbd437cba43e4c1c330c63022772c2520

•攻击交易

0xcdfb8b3cbe85452192196713f371e3afdeb908c3198f0eec334beff9462ab5df

0x1b0fd785391f804a373575ace3e81a28f4a35ade934c15b5dc62ddfbbde659b4

•被攻击合约:

0x065e8A87b8F11aED6fAcf9447aBe5E8C5D7502b6

#攻击过程

1. 攻击者先创建NFT攻击合约,如图所示。

2.因为用户将ERC20代币过度授权给了ExchangeV4(被攻击合约),并且ExchangeV4合约存在漏洞。导致攻击者利用ExchangeV4合约的fillSellOrder函数进行NFT订单创建通过向用户出售攻击合约中的NFT来转移用户向ExchangeV4合约授权的代币。

3.攻击完成后,攻击者将所盗资产转移至Tornado.Cash。

漏洞分析

本次攻击主要利用了在ExchangeV4合约中创建的NFT订单地址可以被指定,并且在交易中只验证了卖方签名就进行转账,导致用户在有向ExchangeV4进行ERC20代币授权的情况下,攻击者可以创建自己的NFT单方面进行交易,将虚假的NFT转移给用户换出用户向ExchangeV4合约授权的代币。

在fillSellOrder函数中,攻击者可以指定出售的NFT地址,并且在验证中只验证了攻击者的签名,而未验证买方的签名。那么攻击者可以通过验证,并在调用_fillSellOrder函数时,将攻击合约的NFT转移给买方,并执行_sendERC20PaymentsWithRoyalties函数转移买方向合约授权的ERC20代币

资金追踪

截止发文时,攻击者获利约847个BNB,当前攻击者已将所盗资金向Tornado.Cash转移。

总结

针对本次事件,成都链安安全团队建议:

1.在实现签名交易的功能时,需要验证买卖双方的签名。

2.用户需要避免过度授权保证财产安全。

3.项目上线前,建议选择专业的安全审计公司进行全面的安全审计,以规避安全风险。

标签: 黑客攻击

猜你喜欢

环球资讯:OPtimism链的Quixotic项目遭受黑客事件分析#攻击过程
当前简讯:支付机构半年考:两家领到千万级罚单,两名高管被罚百万
环球今热点:智能制造和人工智能如何有利于环境
世界头条:人工智能采用的 7 个最大障碍及其解决方案
热点聚焦:光纤传感器的特点有哪些 光纤传感器的主要优点
【全球聚看点】上海电气打造智慧能源新范本
环球动态:激光清洗是新一代工业清洗技术 未来应用前景可期
全球通讯!开封市文广旅局扎实推进文旅市场养老诈骗打击整治专项行动
天天观点:喜迎茶博会|丹寨:拓展渠道促进“茶文旅”融合
【新视野】丹寨县委副书记、县长王永明到县文体广电旅游局调研
世界球精选!江西广电局领导检查新余、宜春市广播电视行业安全生产和安全播出
环球快资讯丨江西广电局加强对电视剧作品规范使用汉字的审查把关
焦点速读:“炒币”浮亏55%仍不死心!萨尔瓦多再度加仓比特币
每日短讯:赛诺医疗(688108)股东Denlux减持比例达1% 持股降至4.56%
环球快讯:澳大利亚S&P/ASX200指数1日收跌0.43%
热头条丨A股收评:创业板指跌1%,旅游股掀跌停潮
环球焦点!晚间必读5篇 | 2022下半年 这五种加密投资趋势值得你注意
国内十大正规炒黄金平台最新排名/2022香港十大炒黄金交易平台排名
博泰车联网顺利完成C轮融资,总融资超25亿元
实力绽放 | 盘点大卫洛克出圈名场面
“餐饮开店通"引领中小餐饮的破局之路
深受肯定!2022年安全健康教育网荣获“学校健康教育突出贡献社会组织”称号
被刻进云南人DNA里的酸木瓜,阳光大维竟然用它...
普融花:公积金借款误区有哪些
助力商家跨境出海 科新云创为企业谋划全球布局
全球首家规模化斐康® (FeedKind®)单细胞蛋白工厂将携手中国进入粮食安全新纪元
刘桐树主任医师:几十年如一日,一步一脚印的中医路
广州一工人高处坠落骨折刺破胸膜腔,2小时接力救治只为争取早日复工!
巴蜀印象火锅匠心研发一次性锅底
2022中国时装技术奖,邀你来“站”!