Похитивший более 100 NFT с платформы Treasure хакер начал возврат активов

Неизвестный использовал уязвимость NFT-маркетплейса Treasure на базе протокола второго уровня Arbitrum для кражи свыше 100 из выставленных на продажу активов. Через несколько часов хакер начал возврат похищенного.  1/ The @Treasure_DAO was exploited in a series of txs (one hack tx: https://t.co/rUTIGgWEth), leading to 100+ NFTs stolen from several collections of Treasure Marketplace.— PeckShield Inc. (@peckshield) March 3, 2022 Баг позволял покупать NFT за ноль токенов MAGIC, используемых на площадке.  Соучредитель Treasure DAO Джон Паттен подтвердил взлом и призвал пользователей убрать активы с продажи.  "Маркетплейс Treasure подвергся эксплойту. Пожалуйста, удалите свои товары из листинга. Мы возместим все потери — я лично откажусь от всех своих Smol, чтобы исправить это", — написал он.  Общая сумма ущерба неизвестна. Исследователь под ником Jacob H. отследил один из адресов хакера, который за полчаса совершил 16 "покупок" за 0 MAGIC. Затраты на приобретение токенов из коллекций Smol Brains и Legion составили менее $5 на транзакцию в виде платы за газ.  This wallet made 16 "purchases" in 30 minutes for 0 $MAGIC. They bought a lot of Smol Brains and a few Legion. Every purchase cost <$5 in gas and 0 $MAGIC. https://t.co/gwvIfpi9A3 pic.twitter.com/qNbrsvtMEK— Jacob H. (@lukenamop) March 3, 2022 Оценочная стоимость этих активов суммарно составляет около 426 511 MAGIC (~$1,44 млн). На еще один адрес подобным образом поступил 21 NFT. Эксперт рекомендовал пользователям в целях безопасности активов убрать их из листинга всех NFT-маркетплейсов на Arbitrum. "Мы считаем, что выявили и устранили причину проблемы. Это был базовый баг, возникший вследствие предыдущего исправления, который мы должны были обнаружить раньше", — заявили разработчики Treasure в Discord. Через несколько часов после взлома с первого, названного Jacob H. кошелька хакера, на адрес Treasure DAO были отправлены все 16 NFT Smol Brain. Данные: Arbiscan. Команда маркетплейса подтвердила, что злоумышленник начал возврат активов. "После того, как у нас будет полный список оставшихся пострадавших, которые не получили обратно украденные NFT, мы предложим ряд вариантов, чтобы гарантировать компенсацию. Эти варианты будут представлены сообществу и проголосованы ДАО", — заявили в Treasure.  На фоне новости о взломе цена MAGIC обвалилась с уровней около $3,8 до отметки $2,23 (SushiSwap). На момент написания котировки токена восстановились и он торгуется в боковом тренде вблизи уровня $3,4. 15-минутный график MAGIC/WETH на SushiSwap. Данные: DEXScreener. Один из пользователей отметил, что уязвимость в Treasure оказалась похожей на выявленную ранее в коде NFT-платформы OpenSea. Напомним, баг позволял покупать на крупнейшем маркетплейсе сегмента дорогостоящие токены по заниженным ценам. Команда OpenSea инициировала миграцию на новый смарт-контракт, чтобы исправить ошибку. Однако в ходе этого процесса пользователи понесли новые потери активов в ходе фишинговой атаки.