REA:“零元購” TreasureDAO NFT 交易市場漏洞分析_TREASURE

2022 年 03 月 03 日，據慢霧區消息，TreasureDAO 的 NFT 交易市場被曝出嚴重漏洞，TreasureDAO 是一個基于 Arbitrum（L2）上的 NFT 項目。目前項目團隊正在修復漏洞并承諾會對受影響的用戶提供解決方案。慢霧安全團隊第一時間介入分析，并將結果分享如下：

相關信息

合約地址

TreasureMarketplaceBuyer:

0x812cda2181ed7c45a35a691e0c85e231d218e273

CTFC專員提議設立“零售倡導辦公室”，以保護散戶加密投資者:9月29日消息，商品期貨交易專員（CFTC）Caroline Pham提議設立一個“零售倡導辦公室”，旨在擴大CFTC對投資者的保護職責，以保護散戶加密投資者。Pham以美國證券交易委員會（SEC）的投資者權益保護辦公室為藍本，表示這是促進客戶保護的“行之有效的方法”。

據悉，CFTC近期因其對Ooki DAO案件的“執法監管”而受到抨擊，社區將其與美國證券交易委員會處理正在進行的Ripple案件中的執法策略進行比較。[2022/9/29 22:39:20]

TreasureMarketplace:

CityDAO Parcel 0 “零號地塊”空投申領窗口已向Citizen NFT持有者開放:5月18日消息，CityDAO宣布正式開始Parcel 0“零號地塊”空投，土地NFT申領窗口已向Citizen NFT持有者開放，截止日期為北京時間7月1日2:00。CityDAO于2021年10月29日購買了懷俄明州40英畝地塊，將地塊治理權鑄造為NFT并由公民NFT持有者分享，持有該NFT的用戶可以擁有對地塊財庫的治理權，但不擁有該土地的所有權。[2022/5/18 3:23:36]

0x2e3b85f85628301a0bce300dee3a6b04195a15ee

金色財經現場報道 EosStore市場負責人羅斌：組建EOS社區的“零一二三”:金色財經現場報道，在EosStore競選超級節點暨“柚子資本發布會”上，EosStore市場負責人羅斌在演講中指出：“組建EOS社區將秉持“車庫咖啡的精神+投資孵化的功能+公平、開放的社區”的模式，做到‘零一二三’。零：社群的零門檻；一：一條主線，即‘一切以商業落地為核心’；二：投資和孵化的功能，投資者社區與開發者社區形成互動鏈接；三：組建三個職能環，投研團隊、資源匹配團隊、市場活動部門，我們會基于以上的幾點，提供力所能及的服務。”[2018/5/13]

漏洞細節分析

BCH社區討論“零確認”交易:據bitcoin news消息，在過去的幾周里，BCH社區和開發者一直在討論“零確認”或“即時交易”。許多BCH支持者認為，如果這一概念得到廣泛接受，付款和交易速度將快得驚人，從而為BCH網絡帶來顯著的競爭優勢。[2018/4/3]

1. 用戶通過 TreasureMarketplaceBuyer 合約中的 buyItem 函數去購買 NFT，該函數會先計算總共需要購買的價格并把支付所需的代幣打入合約中，接著調用 TreasureMarketplace 合約中的 buyItem 從市場購買 NFT 到? TreasureMarketplaceBuyer ?合約，接著在從 TreasureMarketplaceBuyer 合約中把 NFT 轉給用戶。

2. 在 TreasureMarketplace?合約中：

可以發現若傳入的 _quantity 參數為 0，則可以直接通過 require(listedItem.quantity >= _quantity, "not enough quantity"); 檢查并進入下面的轉移 NFT 流程，而其中沒有再次對 ERC-721 標準的 NFT 轉移進行數量判斷，使得雖然傳入的 _quantity 參數雖然為 0，但仍然可以轉移 ERC-721 標準的 NFT。而計算購買 NFT 的價格的計算公式為 totalPrice = _pricePerItem * _quantity，因此購買 NFT 的價格被計算為 0，導致了在市場上的所有 ERC-721 標準的 NFT 均可被免費購買。

攻擊交易分析

此處僅展示一個攻擊交易的細節，其余攻擊交易的手法都一致，不再贅述。

攻擊交易：

https://arbiscan.io/tx/0x82a5ff772c186fb3f62bf9a8461aeadd8ea0904025c3330a4d247822ff34bc02

攻擊者：

0x4642d9d9a434134cb005222ea1422e1820508d7b

攻擊細節：

可以從下圖中看到，攻擊者調用了 TreasureMarketplaceBuyer 合約中的 buyItem 函數，并使傳入的 _quantity 參數為 0。

可以看到代幣轉移均為 0，攻擊者并沒有付出任何成本就成功購買了 tokenID 為 3557 的 NFT，整個攻擊流程與上面的漏洞細節分析中所講的一致。

總結

本次漏洞的核心在于進行 ERC-721 標準的 NFT 轉移前，缺少了對于傳入的 _quantity 參數不為 0 的判斷，導致了 ERC-721 標準的 NFT 可以直接被轉移且計算價格時購買 NFT 所需費用被計算成 0。針對此類漏洞，慢霧安全團隊建議在進行 ERC-721 標準的 NFT 轉移前，需對傳入的數量做好判斷，避免再次出現此類問題。

Tags：NFTSURTREASUREREACLOCK Vault (NFTX)Idle Treasure PartyBitball Treasure代幣化基金Realio創始人:花三年時

NEAR