REA:“零元購” TreasureDAO NFT 交易市場漏洞分析

2022 年 03 月 03 日，據慢霧區消息，TreasureDAO 的 NFT 交易市場被曝出嚴重漏洞，TreasureDAO 是一個基于 Arbitrum（L2）上的 NFT 項目。目前項目團隊正在修復漏洞并承諾會對受影響的用戶提供解決方案。慢霧安全團隊第一時間介入分析，并將結果分享如下：

相關信息

合約地址

TreasureMarketplaceBuyer:

0x812cda2181ed7c45a35a691e0c85e231d218e273

Scam Sniffer：攻擊者正在測試Blur批量掛單漏洞，請用戶當心“零元購”釣魚風險:3月9日消息，反網絡釣魚解決方案Scam Sniffer發文提醒稱，其鏈上監控機器人在大約5小時前發現一筆可疑Blur交易，有攻擊者正在測試Blur批量掛單的漏洞。在這筆交易中，攻擊者自己嘗試了“網絡釣魚”，并成功將6枚NFT實現了轉移。

此前報道，慢霧生態安全合作伙伴Scam Sniffer演示了一個針對Blur NFT市場批量掛單簽名的“零元購”釣魚攻擊測試，通過一個“Root簽名”即可以極低成本（特指“零元購”）釣走目標用戶在Blur平臺授權的所有NFT，Blur平臺的這個“Root簽名”格式類似“盲簽”，用戶無法識別這種簽名的影響。[2023/3/9 12:51:56]

TreasureMarketplace:

Frax Finance 的創始人：穩定幣生態增長不是“零和游戲”，各項目需要合作增加流動性:7月25日消息，Frax Finance的創始人Sam Kazemian表示，只要穩定幣通過共享流動性池和抵押計劃“流動性相互成比例地增長”，穩定幣之間就永遠不會存在真正的競爭。Kazemian解釋說，穩定幣生態系統的增長并不是一場“零和游戲”，因為每個代幣都越來越相互交織并依賴于彼此的表現。

Kazemian認為USDC在整個行業以及其儲備的更高透明度應該使其成為生態系統內合作最有價值的穩定幣。 他稱USDC是一個“低風險和低創新的項目”，并承認它是其他穩定幣進一步創新的基礎層。盡管FRAX穩定幣在算法上是部分穩定的，但Kazemian表示純算法穩定幣“根本行不通”。（Cointelegraph）[2022/7/25 2:35:50]

0x2e3b85f85628301a0bce300dee3a6b04195a15ee

可口可樂推出首款基于元宇宙元素設計的可樂產品“零糖字節”:金色財經報道，近日，可口可樂推出了首款基于元宇宙題材設計的可樂新款產品“零糖字節”（Coca-Cola Zero Sugar Byte）。可口可樂表示，“‘零糖字節’是一款跨越了數字與物理世界、融合時下熱門的元宇宙元素而設計的可樂。”

據悉，該款可樂目前面向部分拉丁美洲國家限量發售，隨后5月2日，在美國網上售賣，之后將于5月23日登陸中國零售市場。

同時，為了推廣新飲料，可口可樂與Epic Games合作，在廣受玩家歡迎的游戲“堡壘之夜”中創建了名為“Pixel Point”數字海島，通過掃碼“零糖字節”可樂罐體二維碼，玩家即能暢玩四款沉浸式互動挑戰小游戲。（同花順）[2022/4/7 14:09:59]

漏洞細節分析

微比特礦池將推出“零費率”BTC挖礦:據官方消息，微比特（ViaBTC）礦池于2020年7月1日-10月31日推出為期4個月的“零費率”BTC挖礦，凡≥300p的微比特中國用戶，只均可參與。據悉，再結合使用微比特礦池推出的“智能挖礦”產品，能夠有效避免幣價波動造成的收益風險。[2020/7/1]

1. 用戶通過 TreasureMarketplaceBuyer 合約中的 buyItem 函數去購買 NFT，該函數會先計算總共需要購買的價格并把支付所需的代幣打入合約中，接著調用 TreasureMarketplace 合約中的 buyItem 從市場購買 NFT 到? TreasureMarketplaceBuyer ?合約，接著在從 TreasureMarketplaceBuyer 合約中把 NFT 轉給用戶。

2. 在 TreasureMarketplace?合約中：

可以發現若傳入的 _quantity 參數為 0，則可以直接通過 require(listedItem.quantity >= _quantity, "not enough quantity"); 檢查并進入下面的轉移 NFT 流程，而其中沒有再次對 ERC-721 標準的 NFT 轉移進行數量判斷，使得雖然傳入的 _quantity 參數雖然為 0，但仍然可以轉移 ERC-721 標準的 NFT。而計算購買 NFT 的價格的計算公式為 totalPrice = _pricePerItem * _quantity，因此購買 NFT 的價格被計算為 0，導致了在市場上的所有 ERC-721 標準的 NFT 均可被免費購買。

攻擊交易分析

此處僅展示一個攻擊交易的細節，其余攻擊交易的手法都一致，不再贅述。

攻擊交易：

https://arbiscan.io/tx/0x82a5ff772c186fb3f62bf9a8461aeadd8ea0904025c3330a4d247822ff34bc02

攻擊者：

0x4642d9d9a434134cb005222ea1422e1820508d7b

攻擊細節：

可以從下圖中看到，攻擊者調用了 TreasureMarketplaceBuyer 合約中的 buyItem 函數，并使傳入的 _quantity 參數為 0。

可以看到代幣轉移均為 0，攻擊者并沒有付出任何成本就成功購買了 tokenID 為 3557 的 NFT，整個攻擊流程與上面的漏洞細節分析中所講的一致。

總結

本次漏洞的核心在于進行 ERC-721 標準的 NFT 轉移前，缺少了對于傳入的 _quantity 參數不為 0 的判斷，導致了 ERC-721 標準的 NFT 可以直接被轉移且計算價格時購買 NFT 所需費用被計算成 0。針對此類漏洞，慢霧安全團隊建議在進行 ERC-721 標準的 NFT 轉移前，需對傳入的數量做好判斷，避免再次出現此類問題。

Tags：NFTSUREREASURMYNFTnsure幣為什么起不來ECOREALinsur幣在幾個交易所交易

世界幣