IMI:OPtimism鏈的Quixotic項目遭受黑客事件分析

2022年7月1日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，OPtimism鏈的Quixotic項目遭受黑客攻擊，黑客獲利847個BNB。成都鏈安安全團隊對事件進行了分析，結果如下。

據悉，Quixotic 是一個可以使用ERC20代幣和NFT進行買賣的平臺，本次攻擊事件發生后，平臺目前所有市場活動都已暫停。

Optimism：Base將成為OP多鏈L2平臺其中一員，部分收入將歸入OP國庫:金色財經報道，Optimism 發布公告，稱由于 L2 目前分散的用戶與生態，將對 Optimism 進行定位升級，OP 將升級為基于 OP Stack 構建的多鏈 L2 平臺。在與 Coinbase 針對 Base 合作中，Coinbase 既是 OP Stack 代碼庫的核心開發人員，同時 Base 也是基于 OP Stack 構建的一個全新 L2 區塊鏈。

此外，作為一條 OP 平臺的區塊鏈，Base 將把交易費收入的一部分返還給 Optimism Collective 國庫。近期內，這項合作將致力于將 Optimism 主網、Base 和其他 L2 升級為初始的超級鏈結構，并共享橋接和排序。[2023/2/23 12:25:43]

?攻擊者地址

V神已將此前黑客發送的100萬枚OP轉回Optimism項目方地址:6月11日消息，據Optimistic瀏覽器數據顯示，昨日由Optimism黑客發送至Vitalik Buterin地址的100萬枚OP已轉移回Optimism項目方地址。截至目前，黑客所盜2000萬枚OP除其中100萬枚被拋售外，其余1900萬枚已全部歸還Optimism項目方。

此前報道，OP被盜事件黑客于昨日通過鏈上消息表示將歸還1800萬枚OP。[2022/6/11 4:18:00]

攻擊者：

0x0A0805082EA0fc8bfdCc6218a986efda6704eFE5

合成資產協議Synthetix將在Optimism上推出首個黃金和白銀合成大宗商品:3月12日消息，合成資產協議 Synthetix 宣布將在 Optimism 上推出首個合成大宗商品（synthetic commodity），交易者能夠在 Kwenta 上獲得黃金和白銀市場的鏈上投資敞口。此外，Synthetix 還表示正在與預言機 ChainLink 合作，以確保為各類頭部交易商品提供信息。

Synthetix 表示，在推出黃金和白銀合成大宗商品之后，他們還計劃探索更多類型的合成商品，可能涉及貴金屬、農產品、以及能源等領域。目前 Synthetix 已經發起投票，讓社區選出下一個上線的合成大宗商品。[2022/3/12 13:52:05]

攻擊者合約：

動態 | Fuel Labs推出基于Optimistic Rollups的以太坊側鏈:Fuel Labs 宣布推出首個基于Optimistic Rollups開發的無需信任的以太坊側鏈 Fuel ，Fuel側鏈專門針對以太坊大額支款設計，在伊斯坦布爾升級之前，保守估計能將以太坊 ERC-20 代幣交易成本降低 5 倍。[2019/10/23]

0xbe81eabdbd437cba43e4c1c330c63022772c2520

?攻擊交易

0xcdfb8b3cbe85452192196713f371e3afdeb908c3198f0eec334beff9462ab5df

0x1b0fd785391f804a373575ace3e81a28f4a35ade934c15b5dc62ddfbbde659b4

?被攻擊合約：

0x065e8A87b8F11aED6fAcf9447aBe5E8C5D7502b6

1. 攻擊者先創建NFT攻擊合約，如圖所示。

2.因為用戶將ERC20代幣過度授權給了ExchangeV4（被攻擊合約），并且ExchangeV4合約存在漏洞。導致攻擊者利用ExchangeV4合約的fillSellOrder函數進行NFT訂單創建通過向用戶出售攻擊合約中的NFT來轉移用戶向ExchangeV4合約授權的代幣。

3.攻擊完成后，攻擊者將所盜資產轉移至Tornado.Cash。

本次攻擊主要利用了在ExchangeV4合約中創建的NFT訂單地址可以被指定，并且在交易中只驗證了賣方簽名就進行轉賬，導致用戶在有向ExchangeV4進行ERC20代幣授權的情況下，攻擊者可以創建自己的NFT單方面進行交易，將虛假的NFT轉移給用戶換出用戶向ExchangeV4合約授權的代幣。

在fillSellOrder函數中，攻擊者可以指定出售的NFT地址，并且在驗證中只驗證了攻擊者的簽名，而未驗證買方的簽名。那么攻擊者可以通過驗證，并在調用_fillSellOrder函數時，將攻擊合約的NFT轉移給買方，并執行_sendERC20PaymentsWithRoyalties函數轉移買方向合約授權的ERC20代幣

截止發文時，攻擊者獲利約847個BNB，當前攻擊者已將所盜資金向Tornado.Cash轉移。

針對本次事件，成都鏈安安全團隊建議：

1.在實現簽名交易的功能時，需要驗證買賣雙方的簽名。

2.用戶需要避免過度授權保證財產安全。

3.項目上線前，建議選擇專業的安全審計公司進行全面的安全審計，以規避安全風險。

Tags：OPTMISIMIOPTIAirdropTokenMISO價格LIMIT幣Optimism

以太坊價格今日行情