BTC/HKD-0.03%
ETH/HKD+0.69%
LTC/HKD+0.33%
DOT/HKD+0.76%
ADA/HKD+0.88%
SOL/HKD+1.66%
XRP/HKD+0.03%
DOGE/US+0.94%3月3日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，基于 Arbitrum 的 TreasureDAO NFT 交易市場被曝發現漏洞，導致100多個NFT被盜，令人意外的是，在事件發生幾小時后，攻擊者卻開始歸還被盜NFT（猜不透攻擊者的心思）。關于本次事件，成都鏈安技術團隊第一時間進行了分析。
總述
交易發起地址利用TreasureMarketplaceBuyer合約中存在的邏輯缺陷，通過該合約的buyItem函數的_quantity參數能夠置零且不影響ERC-721代幣交易的漏洞，將totalPrice置零從而無代價獲取ERC-721代幣。
幣安將上線COMBO U本位永續合約:6月1日消息，幣安宣布將于2023年06月02日20:00（東八區時間）上線COMBO 1-20倍 U本位永續合約。[2023/6/1 11:53:00]
交易發起地址：
Arbitrum：0x9b1acd4336ebf7656f49224d14a892566fd48e68
被攻擊的合約：
Arbitrum：0x812cda2181ed7c45a35a691e0c85e231d218e273
攻擊交易：
數據：4500萬枚XRP從某未知地址轉入Bitstamp:金色財經報道，Whale Alert監測數據顯示，北京時間09:00:50，4500萬枚XRP（約1550萬美元）從某未知地址轉入加密交易所Bitstamp。[2022/12/22 22:00:01]
Arbitrum：0x57dc8e6a28efa28ac4a3ef50105b73f45d56615d4a6c142463b6372741db2a2b
在Arbitrum上，交易發起者通過TreasureMarketplaceBuyer合約的buyItem函數傳入了數值為0的_quantity參數，從而無償購買了TokenID為5490的ERC-721代幣。（僅以此次交易為例）
Bored Ape Yacht Club系列NFT地板價跌至75 ETH:金色財經消息，據NFTGo.io數據顯示，Bored Ape Yacht Club系列NFT地板價跌至75 ETH，總市值為16.2億美元，在NFT項目中排名第二。其24小時交易額為202萬美元，持有地址數6422。[2022/6/16 4:32:31]
?交易詳情
從代碼上來看，TreasureMarketplaceBuyer合約的buyItem函數在傳入_quantity參數后，并沒有做代幣類型判斷，直接將_quantity與_pricePerItem相乘計算出了totalPrice，因此safeTransferFrom函數可以在ERC-20代幣支付數額只有0的情況下，調用TreasureMarketplace合約的buyItem函數來進行代幣購買。
TreasureMarketplaceBuyer 合約的?buyItem函數代碼
但是在調用TreasureMarketplace合約的buyItem函數時，函數只對購買代幣類型進行了判斷，并沒有對代幣數量進行非0判斷，導致ERC-721類型的代幣可以在無視_quantity數值的情況下直接購買，從而實現了漏洞攻擊。
TreasureMarketplace的buyItem函數代碼
涉及的代幣資產:
總結建議
本次安全事件主要原因是ERC-1155代幣和ERC-721代幣混用導致的邏輯混亂，ERC-721代幣并沒有數量的概念，但是合約卻使用了數量來計算代幣購買價格，最后在代幣轉賬時也沒有進行分類討論。
建議開發者在開發多種代幣的銷售販賣合約時，需要根據不同代幣的特性來進行不同情況的業務邏輯設計。
Tags：BUYREASURTREASUREWebuyREAPinsurace幣最新消息Cyclops Treasure
這篇文章根據我作為多個DAO的成員、在Mirror構建DAO工具以及在過去一年中與DAO運營者密切合作的經驗,分享關于DAO工具的一些想法。首先,讓我們看下一些挑戰.
1900/1/1 0:00:00敬啟者： 在最近的交往中,我們遺憾地發現很多新晉NFT老板漠視法律,源于缺乏法律常識。抱有僥幸心理,時時刻刻想著“賺快錢”。針對這一棘手情況,我們不得不進行掃盲式普法.
1900/1/1 0:00:002022 年 03 月 16 日,據慢霧區消息,Hundred Finance 存在嚴重漏洞遭到攻擊,黑客獲利約 2,363 ETH,慢霧安全團隊第一時間介入分析.
1900/1/1 0:00:00NFT是獨特的、不可替代的數字資產。它們可以代表任何東西,從稀有藝術品等獨特物品,到高爾夫俱樂部會員資格等非常具體的資產。雖然這些代幣可以在市場上交易,但它們不像傳統加密貨幣那樣可以分割或互換.
1900/1/1 0:00:002021年,去中心化自治社區DAO概念因為憲法DAO而紅極一時,一群來自全球各地素不相識的年輕人,因為一個拍賣憲法的想法,在短短三天之內募集了超過4000萬美金的資金,轟動一時.
1900/1/1 0:00:00去中心化交易所賽道升級,新秀層出不窮,DEX如何打造特色并獲得成功？3月30日14:00,金色財經邀請BXH孵化投資人王小彬做客「區塊鏈·世界志」直播間,深入探索BXH在DEX賽道的布局邏輯.
1900/1/1 0:00:00
以太坊交易所
