慢霧：TreasureDAO NFT交易市場「零元購」漏洞分析_NFT

2022年03月03日，據慢霧區消息，TreasureDAO的NFT交易市場被曝出嚴重漏洞，TreasureDAO是一個基于Arbitrum上的NFT項目。目前項目團隊正在修復漏洞并承諾會對受影響的用戶提供解決方案。慢霧安全團隊第一時間介入分析，并將結果分享如下：相關信息

合約地址TreasureMarketplaceBuyer:0x812cda2181ed7c45a35a691e0c85e231d218e273TreasureMarketplace:0x2e3b85f85628301a0bce300dee3a6b04195a15ee漏洞細節分析

慢霧：過去一周加密領域因安全事件累計損失3060萬美元:7月24日消息，據慢霧統計，上周加密領域因遭遇攻擊累計損失3060萬美元，攻擊者利用了不同的攻擊向量。這些事件包括Alphapo熱錢包被盜（損失2300萬美元）、Conic Finance遭閃電貸攻擊（損失30萬美元）以及重入攻擊（損失320萬美元）、GMETA發生RugPull（損失360萬美元）、BNO遭閃電貸攻擊（損失50萬美元）等。[2023/7/24 15:55:56]

1.用戶通過TreasureMarketplaceBuyer合約中的buyItem函數去購買NFT，該函數會先計算總共需要購買的價格并把支付所需的Token打入合約中，接著調用TreasureMarketplace合約中的buyItem從市場購買NFT到TreasureMarketplaceBuyer合約，接著在從TreasureMarketplaceBuyer合約中把NFT轉給用戶。

慢霧：共享Apple ID導致資產被盜核心問題是應用沒有和設備碼綁定:5月19日消息，慢霧首席信息安全官23pds發推表示，針對共享Apple ID導致資產被盜現象，核心問題是應用沒有和設備碼綁定，目前99%的錢包、交易App等都都存在此類問題，沒有綁定就導致數據被拖走或被惡意同步到其他設備導致被運行，攻擊者在配合其他手法如社工、爆破等獲取的密碼，導致資產被盜。23pds提醒用戶不要使用共享Apple ID等，同時小心相冊截圖被上傳出現資產損失。[2023/5/19 15:13:08]

慢霧：美國演員SethGreen的NFT遭釣魚攻擊，資金已跨鏈到 BTC 并混幣:5月18日消息，美國演員SethGreen遭遇釣魚攻擊致4個NFT（包括1個BAYC、2個MAYC和1個Doodle）被盜，釣魚者地址已將NFT全部售出，獲利近160枚ETH（約33萬美元）。

慢霧MistTrack對0xC8a0907開頭的釣魚地址分析后，發現總共有8個用戶的NFT被盜，包含MAYC、Doodle、BAYC、VOX等12類NFT，全部售出后總獲利194ETH。同時，該釣魚地址初始資金0.188ETH來自Change NOW。釣魚者地址將大部分ETH轉換為renBTC后跨鏈到6個BTC地址，約14BTC均通過混幣轉移以躲避追蹤。NFT釣魚無處不在，請大家保持懷疑，提高警惕。[2022/5/18 3:24:23]

2.在TreasureMarketplace合約中：

動態 | 慢霧：Electrum“更新釣魚”盜幣攻擊補充預警:Electrum 是全球知名的比特幣輕錢包，支持多簽，歷史悠久，具有非常廣泛的用戶群體，許多用戶喜歡用 Electrum 做比特幣甚至 USDT(Omni) 的冷錢包或多簽錢包。基于這種使用場景，Electrum 在用戶電腦上使用頻率會比較低。Electrum 當前最新版本是 3.3.8，而已知的 3.3.4 之前的版本都存在“消息缺陷”，這個缺陷允許攻擊者通過惡意的 ElectrumX 服務器發送“更新提示”。這個“更新提示”對于用戶來說非常具有迷惑性，如果按提示下載所謂的新版本 Electrum，就可能中招。據用戶反饋，因為這種攻擊，被盜的比特幣在四位數以上。本次捕獲的盜幣攻擊不是盜取私鑰（一般來說 Electrum 的私鑰都是雙因素加密存儲的），而是在用戶發起轉賬時，替換了轉賬目標地址。在此我們提醒用戶，轉賬時，需要特別注意目標地址是否被替換，這是近期非常流行的盜幣方式。并建議用戶使用 Ledger 等硬件錢包，如果搭配 Electrum，雖然私鑰不會有什么安全問題，但同樣需要警惕目標地址被替換的情況。[2020/1/19]

可以發現若傳入的_quantity參數為0，則可以直接通過require(listedItem.quantity>=_quantity,"notenoughquantity");檢查并進入下面的轉移NFT流程，而其中沒有再次對ERC-721標準的NFT轉移進行數量判斷，使得雖然傳入的_quantity參數雖然為0，但仍然可以轉移ERC-721標準的NFT。而計算購買NFT的價格的計算公式為totalPrice=_pricePerItem*_quantity，因此購買NFT的價格被計算為0，導致了在市場上的所有ERC-721標準的NFT均可被免費購買。攻擊交易分析

此處僅展示一個攻擊交易的細節，其余攻擊交易的手法都一致，不再贅述。攻擊交易：https://arbiscan.io/tx/0x82a5ff772c186fb3f62bf9a8461aeadd8ea0904025c3330a4d247822ff34bc02攻擊者：0x4642d9d9a434134cb005222ea1422e1820508d7b攻擊細節：

可以從下圖中看到，攻擊者調用了TreasureMarketplaceBuyer合約中的buyItem函數，并使傳入的_quantity參數為0。

可以看到Token轉移均為0，攻擊者并沒有付出任何成本就成功購買了tokenID為3557的NFT，整個攻擊流程與上面的漏洞細節分析中所講的一致。總結

本次漏洞的核心在于進行ERC-721標準的NFT轉移前，缺少了對于傳入的_quantity參數不為0的判斷，導致了ERC-721標準的NFT可以直接被轉移且計算價格時購買NFT所需費用被計算成0。針對此類漏洞，慢霧安全團隊建議在進行ERC-721標準的NFT轉移前，需對傳入的數量做好判斷，避免再次出現此類問題。

Tags：NFTREASURETREASURE元宇宙nft怎么賺錢Idle Treasure PartyLeisurePay

OKB