Les hacks exploitent le trésor du marché basé sur Arbitrum : plus de 100 NFT volés

Des centaines de NFT ont été volés dans l’exploit TreasureDAO, mené à travers une série de transactions. Les attaquants ont pu exploiter un bogue dans le protocole qui leur permettait de créer gratuitement des NFT. Peu de temps après, la plate-forme a exhorté ses utilisateurs à retirer leurs jetons non fongibles du marché.

TrésorDAO exploité

Dans un autre coup dur pour l’industrie NFT, le dernier projet à avoir été victime d’une plage massive est – TreasureDAO – le plus grand marché NFT sur le protocole de couche 2, l’Arbitrum.

Selon les données de la société de sécurité blockchain et d’analyse de données Peckshield, plus de 100 NFT ont été piratés. Le piratage était dû à « un bogue dans la distinction entre ERC721 et ERC1155 dans buyItem(), qui calcule à tort le prix de ERC721 comme ERC1155 avec la quantité (non fiable) donnée 0. »

L’ampleur des dégâts n’est toujours pas claire, cependant, plusieurs publications sur les réseaux sociaux suggèrent que l’une des adresses utilisées pour le piratage aurait siphonné 17 Smol Brains, qui se trouvent être des NFT populaires échangés sur Arbitrum.

Selon les prix indiqués sur la plateforme Treasure, la valeur totale de ces NFT vaut environ 426,5k MAGIC – le jeton natif du protocole. Aux prix actuels, la valeur s’élève à 1,4 million de dollars. Suite à l’exploit, MAGIC s’est écrasé de 3,82 $ à 2,55 $ le 3 mars avant de revenir au prix du temps de presse de 3,3 $, selon les données sur CoinGecko.

3/ Le hack est rendu possible grâce à un bogue dans la distinction entre ERC721 et ERC1155 dans buyItem(), qui calcule à tort le prix de ERC721 comme ERC1155 avec le (non fiable) donné 0 quantité. pic.twitter.com/D09lYbEmRL

— PeckShield Inc. (@peckshield) 3 mars 2022

Plan d’action de TreasureDAO

Tout en confirmant l’attaque, le co-fondateur de Treasure DAO, John Patten, a tweeté,

« Le marché au trésor est exploité. Veuillez supprimer vos articles. Nous couvrirons les coûts de l’exploit — j’abandonnerai personnellement tous mes Smols pour réparer cela. »

Après s’être excusés pour le piratage, les développeurs de TreasureDAO ont révélé dans un article sur Discord que la vulnérabilité résultait d’un correctif précédent et qu’elle aurait dû être identifiée plus tôt.

Actuellement, le marché a été gelé et aucune transaction n’est en cours d’exécution. L’équipe a également précisé que les listes sont sûres et que le code sera examiné, après quoi, le marché redéploiera les correctifs.

Les développeurs ont également confirmé que les pirates avaient renvoyé des NFT volés quelques heures après l’exploit. De plus, TreasureDAO proposera également des options de rémunération pour les utilisateurs de la plateforme qui ne reçoivent pas les NFT. Ces options seront proposées à la communauté et votées par l’organisation autonome décentralisée.