L’attaquant de Quixotic a pu pirater la fonction d’offre pour drainer plus de 100 000 $ sur Optimism et USDC.
Quixotic, la plus grande place de marché NFT sur Optimism, a annoncé le 1er juillet qu’une récente mise à jour du contrat a été exploitée, entraînant la perte de jetons ERC-20.
L’équipe a assuré aux utilisateurs que les fonds perdus seraient restitués et que les NFTs listés sur la plateforme n’étaient pas affectés. Mais par mesure de précaution, toute l’activité de la place de marché est en pause pendant que les développeurs enquêtent sur ce qui s’est passé.
Nous pouvons confirmer qu’une récente mise à jour du contrat de notre place de marché a été exploitée, permettant à un pirate de voler des jetons ERC-20 approuvés.
1. Nous allons rembourser tous les jetons ERC-20 volés.
2. Les NFTs sont en sécurité et ne sont pas affectés par l’exploitation.
3. Toute l’activité de la place de marché reste en pause https://t.co/wBYt903QVO– Quixotic ✨ – Optimism NFT Marketplace (@quixotic_io) July 1, 2022
Les utilisateurs de Quixotic ne sont pas tenus d’agir car le contrat vulnérable a été arrêté, et les remboursements seront effectués « dans les jours à venir ».
Plus de détails sur l’exploitation NFT de Quixotic
L’exploit a été remarqué pour la première fois par l’équipe du projet NFT Apetimism, qui a dûment alerté la communauté par un tweet aux premières heures du 1er juillet (BST). Elle a désigné la fonction d’offre comme étant la source de la vulnérabilité, suggérant aux membres d’annuler les offres ouvertes pour se protéger.
« Un attaquant s’en prend à la fonction « Offre ». Nous vous suggérons donc d’annuler toutes les offres immédiatement si vous en avez une »
En poussant plus loin, Apetimism a déclaré que, d’après son analyse, il semble que le pirate ait pu transférer des offres faites sur des NFT vers son propre portefeuille. Ils supposent que le pirate a déployé son contrat intelligent pour dépasser la logique existante et exploiter la fonction d’offre.
Comment ? Un pirate a déployé un contrat pour contourner une certaine logique du contrat intelligent de Quixotic sur la fonction d’offre. Cela leur permettrait de voler tous les jetons utilisés dans n’importe quelle offre sur Quixotic dans n’importe quelle devise.
– Apetimism | Sold Out (@apetimism) July 1, 2022
Apetimism a indiqué que 100 000 dollars avaient été perdus jusqu’à présent. Cependant, depuis la publication de ce tweet, une analyse du portefeuille du pirate montre plusieurs sorties importantes supérieures à 100 000 $.
Le transfert le plus important concerne 110 756 USDC, tandis que la transaction suivante concerne 170 882 Optimism (OP), d’une valeur de 90 500 dollars au cours actuel.
Un suivi plus approfondi montre que le pirate s’emploie activement à diviser les fonds volés en petites sommes et à les envoyer à plusieurs autres adresses.
Quixotic, c’est quoi ?
Quixotic est la plus grande place de marché NFT sur la plateforme Ethereum layer-2 Optimism.
Elle peut se vanter d’avoir des frais de transaction moyens de seulement 0,0005 ETH (1,50 $), ce qui rend la plateforme beaucoup plus utilisable pour la plupart des traders NFT. La société estime qu’elle a permis à ses membres d’économiser environ 2 millions de dollars en frais de gaz depuis sa création.
Le suivi sur la chaîne montre que la plateforme a généré un volume de 419 500 $ au cours des 30 derniers jours, mais l’activité des utilisateurs a considérablement diminué depuis le 14 juin.
