買以太坊 買以太坊
Ctrl+D 買以太坊
ads
首頁 > 非小號 > Info

OPEN:利用OpenSea「漏洞」,攻擊者低買高賣他人NFT_BOpenSea

Author:

Time:1900/1/1 0:00:00

作者:茉莉

1月24日,OpenSea多名用戶的NFT被人以過期的低價買入,并被快速高價轉賣,受影響的NFT資產包括BoreApeYachtClub、CoolCats、CyberKongz等。其中一個BoreApeYachtClub以0.77ETH的舊價格被購買,并在一小時內以84.2ETH轉售。該NFT的持有者在推特上表示,他近期并未以0.77ETH的價格出售該NFT。

交易頁面顯示,名為jpegdegenlove的OpenSea賬號操作了這些低買高賣的NFT,截至1月25日凌晨,其以太坊錢包已經擁有價值超74萬美元的ETH。

攻擊者能夠成功「狙擊」別人的NFT,源于OpenSea的NFT「銷售列表」取消功能被忽略。在這個全球最大的NFT交易平臺上,NFT掛單者真正撤單必須支付Gas取消銷售列表,否則掛單即便在前端UI不顯示,鏈上也依然有效,仍能被人以原先的掛單價格在其他平臺上購買。

ExchangeBetweenPools合約遭到閃電貸攻擊:金色財經消息,據CertiK監測,ExchangeBetweenPools合約遭到閃電貸攻擊。攻擊者通過調用公共的'doExchange()'函數來操縱USDC價格,并套利58.5枚ETH(約11萬美元)。[2023/5/31 11:50:25]

DeFi開發者yakirrotem解釋,攻擊者可能保存了用戶在早先掛售時的鏈上簽名列表,該列表公開可見,能被API抓取,以過期低價購買用戶的NFT。這個Bug一旦被攻擊者利用,他人的NFT便會被收入囊中,進而轉賣。

截至發稿前,OpenSea未就用戶損失和「銷售列表」的前端問題公開發表回應。

用戶?NFT?以過期價遭攻擊者低買高賣

「OpenSea上的一個錯誤允許人們以舊價格購買Ape。這只Ape以?0.77ETH的價格被購買,40?分鐘后以84.2ETH的價格轉售。」1月24日,多條類似推文提示OpenSea用戶,盡快將自己的NFT資產轉移至從未在OpenSea上簽名過NFT銷售的錢包中。

Celestia:Quantum Gravity Bridge初期版本已上線Blockspace Race測試網:5月12日消息,模塊化區塊鏈網絡Celestia發推表示,Quantum Gravity Bridge的初期版本已于本周在Blockspace Race測試網上線,相應的合約已部署在以太坊Sepolia測試網上。

Quantum Gravity Bridge是一個從Celestia到以太坊的數據可用性(DA)橋接。Celestia使用Celestium作為可擴展的鏈下數據可用性 (DA) 解決方案為以太坊Rollup團隊提供服務。[2023/5/12 14:59:10]

一枚ApeNFT以0.77ETH被低吸后高賣

被低價買入又轉手高價賣出的NFT不僅涉及BoreApeYachtClub項目,還包括MutantApeYachtClub、CyberKongz和CoolCats等NFT項目。

美聯儲:全球央行將通過美元互換協議提高流動性:金色財經報道,美聯儲表示,為了提高美元互換額度提供美元資金的有效性,目前提供美元操作的央行已同意將7天到期操作的頻率從每周增加到每天,操作時間的增加將于周一開始,并將至少持續到4月底。

美聯儲表示,美聯儲和英國、加拿大、日本、歐洲央行和瑞士央行宣布采取協調行動,通過美元流動性互換額度增加流動性供應。[2023/3/20 13:14:14]

「伙計們,為什么我的Ape只賣?0.77?」推特用戶T_BALLER6正是受害者之一,他發布推文稱,他近期并沒有將這枚Ape以?0.77ETH的價格出售。

另一名維特名為ToastVirtual的NFT收藏家也稱,周一醒來發現他的Ape以舊的掛單價格6.66ETH被售出,「這只Ape沒有在錢包之間轉移。」?

由dappOS提供支持的去中心化衍生品交易所平臺GMX試點版本即將上線:金色財經報道,由 Web3 操作系統 dappOS 提供支持的去中心化衍生品交易所平臺 GMX 試點版本即將上線,旨在降低用戶在 Arbitrum 和 Avalanche 區塊鏈上訪問 GMX DeFi 功能的門檻,簡化跨鏈 GMX 訪問流程。(雅虎財經)[2023/2/1 11:40:47]

從OpenSea交易記錄頁面可見,低吸高賣的賬戶名為jpegdegenlove,該賬戶在幾個小時內不斷以舊價格買入多個知名的NFT,然后又轉手高價賣出。區塊鏈安全機構Peckshield的相關推特公布了攻擊者地址并提醒,OpenSea有一個前端問題,攻擊者獲得了大約332ETH。按照事發當時ETH的報價2256美元,這些332ETH折合約74萬美元左右。

歐易Web3錢包與Multichain達成官方合作:據官方推特消息,歐易Web3錢包與加密資產跨鏈兌換平臺Multichain達成官方合作關系,用戶可連接歐易Web3錢包在Multichain進行鏈上資產交易和跨鏈資產轉移。此外,歐易Web3錢包已聚合并在Discover板塊收錄Multichain,將為用戶提供加密資產跨鏈兌換的最低成本和最佳路徑。

據悉,歐易 Web3 錢包是最全面的異構多鏈錢包,支持 50+公鏈。App、插件、網頁三端統一,包含數字貨幣錢包、DEX、DeFi、NFT 市場、DApp 探索 5 大板塊。[2023/1/28 11:33:54]

這些收藏家的NFT為何會被人以過期的低價買走?

有推特用戶附圖答疑稱,OpenSea和另一個NFT交易平臺Rarible之間存在一個問題,「如果你沒有在OpenSea上正確地刪除NFT掛單,這個問題就會被利用。」

答疑圖片顯示,如果賣家掛售一件NFT商品,后來決定刪除掛單,那么正確的方式是支付一筆Gas費用來取消它,如果用戶為了節省Gas費,只是簡單地將NFT轉移到一個不同的以太坊地址,盡管OpenSea的前端掛單不顯示了,但當該NFT被發送回原始地址后,它仍然可以在Rarible上被購買。

OpenSea的這個「前端問題」事實上早已以答用戶問的方式出現在其幫助中心的頁面上。在「我如何取消或調低NFT清單的價格」一問中,OpenSea答復,「請注意,轉移NFT不會自動取消清單。在將NFT轉移到新的錢包之前,您要取消列表。這確保了該列表不能通過OpenSea實現……取消列表需要支付Gas費,這樣才能使其他用戶無法使用該NFT。」

如此看來,被人低價買走的NFT很可能是一些用戶沒有執行掛單取消操作,導致被攻擊者利用。

如何在OpenSea避免「未撤單」疏漏?

OpenSea「銷售列表」取消功能留下的「空子」曾在去年12月底就有披露,此次規模性爆發后導致用戶資產受損。

推特名為「yakirrotem」的DeFi開發者、NFT收藏家因此將OpenSea評價為NFT世界的「過時產品」,「它緩慢,用戶體驗糟糕,用的是舊的智能合約代碼,這讓你支付了更多的Gas費,對交易者沒有好處,他們還有危險的Bug。」

yakirrotem羅列OpenSea的運行方式稱,該平臺為了節省Gas費,采用了鏈下呈現價格、鏈上操作簽名交易的方式運行整個系統,「當你列出一個待售的項目時,你簽名的數據證明你愿意以這個價格出售你的NFT,而簽名保存在OpenSea的鏈下數據庫里。當有人想購買你的NFT時,他會發送給他的智能合約,但這一步的簽名和銷售信息是在鏈上進行驗證的,然后才發生轉讓。」

yakirrotem強調,當用戶取消一個列表時,會被要求執行一個交易,「你可能會問『為什么』,原因是有人可能保存你此前的簽名清單,因為它是公共的,例如Rarible平臺甚至OSAPI,并在以后使用它。即使你的掛單從UI頁面上刪除了,但其實上只有鏈上交易才會保存你取消該交易的事實,即便有人試圖使用你之前簽署的數據,鏈上驗證也將拒絕該交易。」

此外,將先前掛單的NFT轉移回列出它的錢包,也不會阻止這個錯誤的發生,「重新列出也幫不了你,除非你確保取消了所有之前的清單。」

NFT收藏家圖解OpenSea前端問題

「Rarible這樣的網站會保存舊的列表,現在攻擊者可以使用這些信息來執行銷售,因為OpenSea的智能合約相信這個銷售是有效的。」yakirrotem指出,OpenSea的另一個大問題是他們沒有一次性的訂單簿,「所以假如你6個月前創建了一個訂單,然后在4個月前又創建了另一個訂單,即便你在1天后取消了它,第一個訂單仍然有效,盡管它在UI頁面上不可見。」

此次「漏洞」造成用戶NFT被攻擊者「狙擊」后,也有一些聲音認為是用戶自身保管NFT不當所致。而在yakirrotem看來,OpenSea的這些問題并非不可解決,因為另一家最近興起的NFT交易平臺LooksRare就支持用戶一次性取消所有訂單,「即使你不知何故忘記取列表,這也可以確保你更安全。」

如何復查自己的NFT舊掛單是否執行了取消操作?

yakirrotem介紹,用戶可以登錄Rarible平臺查看之前的列表是否還在,「然而,如果你想要100%的安全,那么就把你的NFT轉移到另一個從未在OpenSea上架過的錢包里。」

Tags:NFTPENOpenSeaOPENFeisty Doge NFTOpen LinkBOpenSeaOpen Trading Network

非小號
COM:釣魚與反釣魚技術淺析_MTP價格

釣魚與反釣魚技術淺析 1.郵箱釣魚 0X00郵箱偽造技術 0X01Swaks偽造郵件swaks堪稱SMTP協議的瑞士軍刀.

1900/1/1 0:00:00
NFT:縱橫幣海:每日比特幣行情分析2022.1.23_EDEN

機會每天分時段創造,何須急于一時,初衷從未改變,創造利潤的同時,潛心專業把握風控,讓投資產生價值,走得長遠.

1900/1/1 0:00:00
HEM:黑客事件頻發 如何選擇相對安全的跨鏈橋?_SDUSD

在行業快速步入多鏈生態后,用戶對跨鏈橋的需求也愈發強烈。然而目前的市場上,各公鏈的官方橋往往支持的鏈有限,因此,第三方跨鏈協議憑借著更廣泛的公鏈支持數量成為了用戶跨鏈的主流選擇.

1900/1/1 0:00:00
BTC:虎符推出AMM資金池 增加用戶收益通道_BTC是騙局嗎

Web3和DAO成為時下加密圈最火熱的話題,兩者的共性都是通過去中心化的方式,變革大型公司壟斷互聯網的局面,將用戶創造的價值公平地分發給每個個體.

1900/1/1 0:00:00
ABR:當 Dani 和 AC 走在一起 他們正在組裝 DeFi 的樂高死星_ANI

原文標題:《Dani''svision》 分析 隨著令人期待的SOLID的推出,Dani代幣生態系統很可能會在短期內大幅增長.

1900/1/1 0:00:00
USD:金色前哨 | BTC失守4萬美金 知名投資人稱美股存在超級泡沫_USDT幣提現會查嗎

1月21日10:00行情顯示,BTC跌破40000美元,ETH跌破2900美元。這是在21日凌晨比特幣一度躍升至43000美元以上后出現的快速下跌,市場恐慌與貪婪指數為19,恐慌程度較昨日有所上.

1900/1/1 0:00:00
ads