ETH:NFT 借貸平臺 XCarnival 被盜3000 ETH 事件分析

NFT借貸平臺@XCarnival_Lab大約7個小時之前被黑了，至少有3000個$ETH被盜。下面是該事件的簡要分析：

該NFT借貸平臺的合約有個bug：作為抵押品的NFT在取出后，其orderID仍然可用，可以此申請貸款。

有三個相關合約：xETH,錢在這里main.https://etherscan.io/address/0xb38707e31c813f832ef71c70731ed80b45b85b2d……?

?xNFT,NFT管理器.https://etherscan.io/address/0xb14b3b9682990ccc16f52eb04146c3ceab01169……?

Layer2協議Loopring鑄造獨立NFT數量突破20萬枚，交易總額超1500萬美元:8月8日消息，據Dune Analytics數據顯示，Layer2協議Loopring已鑄造的獨立NFT數量突破20萬枚，截至目前為201,361枚，此外Loopring鏈上NFT交易總額超1500萬美元，達到15,836,353美元。[2022/8/9 12:10:52]

?P2Controller,很多借貸限制條件的驗證者.

黑客https://etherscan.io/address/0xb7cbb4d43f1e08327a90b32a8417688c9d0b800a…從Tornado中拿出了干壞事的啟動資金.然后在OpenSea上購買了#BAYC5110。

NFT工具提供商Venly完成2300萬美元A輪融資 Courtside Ventures領投:4月28日消息，NFT 工具提供商 Venly 宣布完成 2300 萬 A 輪融資，本輪融資由 Courtside Ventures 領投，Transcend Fund、Coinbase Ventures、Tioga Capital、High-Tech Gründerfonds、Fortino、Plug and Play、Leadblock Partners、Imec Istart、Powerhouse 和 Alpaca VC 等參投。融資將用于擴充團隊，建立新的合作伙伴關系。

Venly 成立于 2018 年，前身是 Arkane Network，主要提供數字錢包、NFT 市場、NFT 工具等解決方案，其客戶包括 The Sandbox、Bondly、以及游戲巨頭育碧。[2022/4/28 2:37:47]

他部署了一個總控合約0xf706…ca8dhttps://etherscan.io/address/0xf70f691d30ce23786cfb3a1522cfd76d159aca8d……,該合約生成了很多用來當女巫用同一個NFT進行借貸的馬仔合約，比如0x5338…3714https://etherscan.io/address/0x53386a82e55202a74c6d83c7eede7a80ba553714…….

皇家馬德里俱樂部將在Flow區塊鏈上推出智能票證NFT:11月5日消息，西甲豪門皇家馬德里俱樂部將與粉絲參與軟件平臺LAVA合作，在Flow區塊鏈上推出智能票證NFT。9月下旬，該產品在皇家馬德里體育場的一場比賽中進行了測試，現在將開始大規模推廣。該智能票證將可提供代幣獎勵，讓球迷訪問專為比賽設計的數字項目，以改善球迷體驗。該產品與球迷代幣有相似之處，可兌換獎勵。籍此可為具體比賽（而非整個品牌）設計產品，這有望增強球迷參與感。（Ledger Insights）[2021/11/5 6:32:42]

首先，總控將BAYC轉給某個馬仔。馬仔然后調用xNFT中的pledgeAndBorrow()函數，抵押品為BAYC，但什么也沒貸。本步驟生成了一個orderID(43)。

NFT游戲Dragon Kart獲Signum Capital戰略投資:據官方消息，基于BSC的NFT游戲Dragon Kart宣布獲得Signum Capital戰略投資。據了解，Signum Capital是一家總部位于新加坡的風險投資公司，專注于區塊鏈領域的公司和創新項目；Dragon Kart是一款基于區塊鏈平臺的3D NFT P2E競技賽車游戲。[2021/10/16 20:33:47]

本Tx中可以看到這些過程，不過只有internaltransaction。如果想詳細解讀得自己深挖調用棧。馬仔5338然后取出剛才抵押的NFT，并還給總控。總控再把NFT給別的馬仔。如此左手倒右手循環，黑客搞出了幾十個orderID，之后可作為借款憑證。而有bug的xNFT并沒有在取出抵押物后撤銷憑證orderID。

下一步，總控讓所有馬仔依次從xETH合約里借錢。攻擊完成。黑客用空氣借走了真金白銀。這是其中一個tx。

上面的是大概過程。再來看下細節。在xNFT合約中，withdrawNFT()并咩有在取出后消除orderID。當P2controller調用getOrderDetail()時還是能取到這個ID。

在xETH中，borrow()會調用borrowInternal()然后調用controller.borrowAllowed()來驗證orderID是否有效。

這個是P2controller的borrowAllowed()函數。首先會問xNFT.getOrderDetail()，這個肯定過。還有其他各種限制，但沒有一個好使，我在代碼評論中有分析。注：黑客之所以要多個馬仔合約是因為這里最下面有一個對單個orderID的借貸數量的限制。

總結：抵押物在取出后還有效，這是一個非常簡單粗暴膚淺的合約bug。下面這張圖是這些錯綜復雜的內部調用的清晰的調用棧。想不借助工具裸眼分析如果看麻了可以參考下圖。

Tags：NFTETHORDRESTOPDOG Vault (NFTX)ETHU價格CORD價格RESQ Chain

FTX