Quixotic Hack

Quixotic era el mayor mercado de NFT de Optimism. Además de comprar NFT a la venta, los usuarios podían hacer ofertas por NFT con tokens, lo que implicaba autorizar al contrato de intercambio de Quixotic a gastar esos tokens. El 1 de julio de 2022, poco después de una actualización del contrato, un atacante descubrió que el contrato comprobaba que el vendedor hubiera dado su visto bueno a una venta, pero no que el comprador estuviera de acuerdo. Eso le permitió vender NFT sin valor a cualquier cartera que hubiera autorizado el contrato y hacer que pagara con sus tokens autorizados.

El atacante se llevó tokens por valor de unos 150.000 dólares, todos en Optimism. Los NFT en sí no se vieron afectados. En pocas horas, Quixotic pausó toda la actividad del mercado, pidió a los usuarios que cancelaran sus ofertas abiertas y prometió reembolsar todos los tokens robados, y acabó reembolsando a los usuarios afectados. Desde entonces se ha renunciado a la propiedad del contrato de intercambio, lo que significa que nadie puede volver a activar el contrato pausado.

Como el contrato está pausado de forma permanente y ya nadie lo controla, este exploit ya no puede usarse para llevarse tokens de tu cartera. Aun así, si alguna vez hiciste ofertas en Quixotic, las autorizaciones que diste a su antiguo contrato de intercambio ya no sirven para nada, y revocarlas es una buena práctica. Mantener solo las autorizaciones que realmente necesitas limita los daños si otro contrato que has autorizado resulta tener un fallo.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.