Quixotic Hack

Quixoticは、Optimism上で最大のNFTマーケットプレイスでした。ユーザーは出品されたNFTを購入するだけでなく、トークンを使ってNFTにオファーを出すこともでき、そのためにはQuixoticの取引コントラクトにトークンの使用を承認する必要がありました。2022年7月1日、コントラクトの更新直後に、攻撃者は、このコントラクトが売り手の同意は確認するものの、買い手の同意は確認していないことに気付きました。これにより攻撃者は、コントラクトを承認したあらゆるウォレットに価値のないNFTを売りつけ、承認済みのトークンで代金を支払わせることができました。

攻撃者は約15万ドル相当のトークンを奪い、そのすべてがOptimism上のものでした。NFTそのものは影響を受けませんでした。Quixoticは数時間以内にマーケットプレイスのすべての取引を一時停止し、ユーザーに未成立のオファーをキャンセルするよう伝え、盗まれたトークンをすべて返金すると約束し、実際に影響を受けたユーザーに返金しました。取引コントラクトの所有権はその後放棄されたため、一時停止されたコントラクトを再開できる人は誰もいません。

コントラクトは恒久的に停止され、もう誰も管理していないため、このエクスプロイトを使ってウォレットからトークンを奪うことはもうできません。それでも、Quixoticでオファーを出したことがある場合、古い取引コントラクトに与えた承認はもう何の役にも立たないため、取り消しておくのが良い習慣です。本当に必要な承認だけを残しておけば、承認した別のコントラクトに欠陥が見つかった場合の被害を抑えられます。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。