Den Angreifern von Quixotic ist es gelungen, die Angebotsfunktion zu hacken und mehr als 100.000 Dollar in Optimism und USDC abzuräumen.
Quixotic, der größte NFT-Marktplatz auf Optimism, gab am 1. Juli bekannt, dass ein kürzlich durchgeführtes Vertragsupdate ausgenutzt wurde, was zum Verlust von ERC-20-Tokens führte.
Das Team versicherte den Nutzern, dass die verlorenen Gelder zurückerstattet würden und dass die auf der Plattform gelisteten NFTs nicht betroffen seien. Als Vorsichtsmaßnahme sind jedoch alle Marktplatzaktivitäten pausiert, während die Entwickler den Vorfall weiter untersuchen.
Wir können bestätigen, dass ein kürzlich durchgeführtes Update unseres Marktplatzvertrages ausgenutzt wurde und es einem Hacker ermöglicht hat, genehmigte ERC-20 Token zu stehlen
1. Wir werden alle gestohlenen ERC-20-Token zurückerstatten.
2. NFTs sind weiterhin sicher und nicht von der Sicherheitslücke betroffen
3. Alle Marktplatzaktivitäten bleiben pausiert https://t.co/wBYt903QVO– Quixotic ✨ – Optimism NFT Marketplace (@quixotic_io) July 1, 2022
Quixotic-Nutzer müssen nicht handeln, da der anfällige Vertrag gestoppt wurde und die Erstattungen „in den kommenden Tagen“ erfolgen werden.
Weitere Details zum Quixotic NFT Exploit
Der Exploit wurde zuerst vom Team des NFT-Projekts Apetimism entdeckt, das die Community in den frühen Morgenstunden des 1. Juli (BST) mit einem Tweet alarmierte. Es machte die Angebotsfunktion als Quelle der Schwachstelle aus und empfahl den Mitgliedern, offene Angebote zu stornieren, um sich zu schützen.
„Ein Angreifer greift die Funktion „Angebot“ an. Daher empfehlen wir Ihnen, alle Angebote sofort zu stornieren, wenn Sie eines haben. „
Ausgehend von der Analyse von Apetimism scheint der Hacker in der Lage gewesen zu sein, Angebote, die auf NFTs gemacht wurden, auf seine eigene Geldbörse zu übertragen. Sie vermuten, dass der Hacker seinen Smart Contract eingesetzt hat, um die bestehende Logik zu überschreiben, um die Angebotsfunktion auszunutzen
Wie? Ein Angreifer setzte einen Vertrag ein, um eine Logik im Smart Contract von Quixotic über die Angebotsfunktion zu umgehen. Dadurch konnten sie alle Token stehlen, die in einem Angebot auf Quixotic in einer beliebigen Währung verwendet wurden.
– Apetimism | Sold Out (@apetimism) July 1, 2022
Apetimism berichtete, dass bisher 100.000 Dollar verloren gegangen sind. Seitdem dieser Tweet veröffentlicht wurde, zeigt eine Analyse der Geldbörse des Hackers jedoch mehrere große Abflüsse von mehr als 100.000 Dollar.
Der bedeutendste Einzeltransfer war 110.756 USDC, während die nächstgrößere Transaktion 170.882 Optimism (OP) umfasste, die zum aktuellen Kurs 90.500 Dollar wert sind.
Eine weitere Nachverfolgung zeigt, dass der Hacker die gestohlenen Gelder aktiv in kleinere Beträge aufteilt und sie an mehrere andere Adressen sendet:
Was ist Quixotic?
Quixotic ist der größte NFT-Marktplatz auf der Ethereum Layer-2 Plattform Optimism.
Er rühmt sich mit einer durchschnittlichen Transaktionsgebühr von nur 0,0005 ETH (1,50 $), was die Plattform für die meisten NFT-Händler sehr viel nutzbarer macht. Das Unternehmen schätzt, dass es seinen Mitgliedern seit seiner Gründung rund 2 Millionen Dollar an Gasgebühren erspart hat.
Die On-Chain-Verfolgung zeigt, dass die Plattform in den letzten 30 Tagen ein Volumen von 419.500 $ umsetzte, aber die Nutzeraktivität ist seit dem 14. Juni deutlich zurückgegangen.
