NFT 借貸平臺 XCarnival 被盜3000 ETH 事件分析_NFT

NFT借貸平臺@XCarnival_Lab大約7個小時之前被黑了，至少有3000個$ETH被盜。下面是該事件的簡要分析：

該NFT借貸平臺的合約有個bug：作為抵押品的NFT在取出后，其orderID仍然可用，可以此申請貸款。

有三個相關合約：xETH,錢在這里main.https://etherscan.io/address/0xb38707e31c813f832ef71c70731ed80b45b85b2d……?

?xNFT,NFT管理器.https://etherscan.io/address/0xb14b3b9682990ccc16f52eb04146c3ceab01169……?

NFT租賃市場Playdex獲200萬美元種子輪融資，PDAX、OrangeDAO等領投:6月2日消息，加密錢包服務商Coins.ph的創始人推出的NFT租賃市場Playdex獲得200萬美元種子輪融資，菲律賓加密貨幣交易所PDAX、Orange DAO和BukoVentures領投，Tinder聯合創始人Justin Mateen、Magic聯合創始人AaronKemmer、CSVE Ventures管理合伙人NinaTeng、XA Network的YawYeo、Lazada PH主席Ray Alimurung和Wing Vasiksiri等參投。

Playdex是專為玩賺游戲NFT創建的NFT租賃市場，玩家無需購買昂貴的NFT即可立即玩游戲并賺錢。公會現在可以專注于培訓和擴展他們的社區，不再為游戲資產的巨額財務成本所負擔。[2022/6/2 3:58:46]

?P2Controller,很多借貸限制條件的驗證者.

LINE將于4月13日上線NFT市場，并計劃推出全球NFT平臺“DOSI”:3月23日消息，日本通訊巨頭LINE宣布將于4月13日上線NFT市場“Line NFT”。該市場將發售通過與日本大型娛樂公司吉本興業等17家公司的內容合作發行的100多種NFT。Line表示，在Line NFT市場上購買的NFT可以存儲在Line BitMEX錢包中，并且可以與購買者的Line App朋友進行交換。此外，Coinpost 補充說，Line計劃向海外市場拓展NFT，在本月內向180個國家/地區推出全球NFT平臺“DOSI”。此前消息，韓國互聯網公司Naver與社交巨頭LINE旗下區塊鏈暨NFT子公司LINENEXT建立合作關系，尋求在NFT領域內合作。(Coinpost)[2022/3/23 14:13:30]

黑客https://etherscan.io/address/0xb7cbb4d43f1e08327a90b32a8417688c9d0b800a…從Tornado中拿出了干壞事的啟動資金.然后在OpenSea上購買了#BAYC5110。

Blocto旗下NFT交易平臺BloctoBay已正式上線:10月15日消息，由跨鏈智能合約錢包 Blocto 推出的 Flow 鏈上 NFT 交易平臺 BloctoBay 已正式上線，目前可交易的 NFT 包括 MotoGP Ignition、Vault by CNN、Versus、Dark Country、Ben Mauro's Evolution & Warfare series xtingles、Chainmonsters、Starly、RaceDay，以及 Jambb 系列。

BloctoBay 將在后續的版本中增加對 Solana、BSC、Ethereum、Polygon、Avalanche 的支持，并推出信用卡支付購買 NFT 的功能。[2021/10/15 20:31:47]

他部署了一個總控合約0xf706…ca8dhttps://etherscan.io/address/0xf70f691d30ce23786cfb3a1522cfd76d159aca8d……,該合約生成了很多用來當女巫用同一個NFT進行借貸的馬仔合約，比如0x5338…3714https://etherscan.io/address/0x53386a82e55202a74c6d83c7eede7a80ba553714…….

萊昂納多·迪卡普里奧的地球聯盟將接受來自NFT拍賣的捐款:金色財經報道，好萊塢著名作曲家電影作曲家宣布了“你生活的原聲”NFT拍賣計劃。Holkenborg計劃創作一個持續20分鐘以上的樂譜，并將以NFT代幣的形式制作在基于Tezos的AmplifyX 平臺上。拍賣將于美東時間6月16日開始，拍賣所得利潤的10%將捐贈給演員萊納多·迪卡普里奧的應對氣候變化的地球聯盟(Earth Alliance)。[2021/6/15 23:36:23]

首先，總控將BAYC轉給某個馬仔。馬仔然后調用xNFT中的pledgeAndBorrow()函數，抵押品為BAYC，但什么也沒貸。本步驟生成了一個orderID(43)。

本Tx中可以看到這些過程，不過只有internaltransaction。如果想詳細解讀得自己深挖調用棧。馬仔5338然后取出剛才抵押的NFT，并還給總控。總控再把NFT給別的馬仔。如此左手倒右手循環，黑客搞出了幾十個orderID，之后可作為借款憑證。而有bug的xNFT并沒有在取出抵押物后撤銷憑證orderID。

下一步，總控讓所有馬仔依次從xETH合約里借錢。攻擊完成。黑客用空氣借走了真金白銀。這是其中一個tx。

上面的是大概過程。再來看下細節。在xNFT合約中，withdrawNFT()并咩有在取出后消除orderID。當P2controller調用getOrderDetail()時還是能取到這個ID。

在xETH中，borrow()會調用borrowInternal()然后調用controller.borrowAllowed()來驗證orderID是否有效。

這個是P2controller的borrowAllowed()函數。首先會問xNFT.getOrderDetail()，這個肯定過。還有其他各種限制，但沒有一個好使，我在代碼評論中有分析。注：黑客之所以要多個馬仔合約是因為這里最下面有一個對單個orderID的借貸數量的限制。

總結：抵押物在取出后還有效，這是一個非常簡單粗暴膚淺的合約bug。下面這張圖是這些錯綜復雜的內部調用的清晰的調用棧。想不借助工具裸眼分析如果看麻了可以參考下圖。

Tags：NFTETHINEORDdogenftETHHEDGE幣SHINEOrdinal Pepe

比特幣