Optimism NFT-marknadsplatsen Quixotic lider av missbruk efter kontraktsuppdatering

quixotic, den största NFT-marknadsplatsen för Optimism, meddelade den 1 juli att en nyligen genomförd kontraktsuppdatering utnyttjades, vilket ledde till förlusten av ERC-20-tokens.

Teamet försäkrade användarna att förlorade pengar skulle returneras och att NFT:er listade på plattformen var opåverkade. Men som en försiktighetsåtgärd pausas all marknadsplatsaktivitet när utvecklare undersöker vad som hände ytterligare.

Vi kan bekräfta att en nyligen genomförd uppdatering av vårt marknadsplatskontrakt utnyttjades, vilket gjorde det möjligt för en hackare att stjäla godkända ERC-20-tokens

1. Vi kommer att återbetala alla stulna ERC-20-tokens
2. NFT:er förblir säkra och påverkas inte av utnyttjandet
3. All marknadsplatsaktivitet förblir pausad https://t.co/wBYt903QVO

— Quixotic ?✨ – Optimism NFT Marketplace (@quixotic_io) Juli 1, 2022

Quixotiska användare är inte skyldiga att agera eftersom det sårbara kontraktet har stoppats, och återbetalningar kommer att gå ut "under de kommande dagarna."

Mer information om Quixotic NFT-utnyttjandet

Exploateringen noterades först av teamet på NFT-projektet Apetimism, som varnade samhället med en tweet tidigt den 1 juli (BST). Den pekade ut erbjudandefunktionen som källan till sårbarheten, och föreslår att medlemmar avbryter öppna erbjudanden för att skydda sig själva.

"En angripare attackerar funktionen "Erbjudande". Därför föreslår vi att du avbryter alla erbjudanden omedelbart om du har ett."

Expanderar ytterligare, Apetimism sa, baserat på deras analys, verkar det som att hackaren kunde överföra erbjudanden på NFT till sin egen plånbok. De förmodade att hackaren använde sitt smarta kontrakt för att överskrida den befintliga logiken för att utnyttja erbjudandefunktionen.

Hur? En angripare använde ett kontrakt för att kringgå viss logik i Quixotics smarta kontrakt över erbjudandefunktionen. Detta skulle låta dem stjäla alla tokens som används i alla erbjudanden på Quixotic i vilken valuta som helst.

— Apetimism? | Slutsåld (@apetimism) Juli 1, 2022

Apetimism rapporterade det $100,000 hade gått förlorad hittills. Men sedan den tweeten gick ut har en analys av hackers plånbok visar flera stora utflöden större än $100,000 XNUMX.

Den mest betydande enstaka överföringen ut var för 110,756 170,882 USDC, medan den näst mest betydande transaktionen ut var för 90,500 XNUMX Optimism (OP), värderat till $XNUMX XNUMX till det aktuella priset.

En ytterligare uppföljning visar att hackaren aktivt delar upp stulna pengar till mindre summor och skickar dem till flera andra adresser.

Vad är Quixotic?

quixotic är den största NFT-marknadsplatsen på Ethereum lager-2-plattformen Optimism.

Den har en genomsnittlig transaktionsavgift på bara 0.0005 ETH ($1.50), vilket gör plattformen mycket mer användbar för de flesta NFT-handlare. Företaget uppskattar att det har sparat sina medlemmar runt 2 miljoner dollar i gasavgifter sedan starten.

Spårning i kedjan visar att plattformen omsatte 419,500 30 $ i volym under de senaste 14 dagarna, men användaraktiviteten har minskat avsevärt sedan den XNUMX juni.