Quixotic Hack

Quixotic был крупнейшим NFT-маркетплейсом в сети Optimism. Помимо покупки выставленных NFT, пользователи могли делать предложения о покупке NFT за токены, для чего нужно было выдать контракту биржи Quixotic доступ к этим токенам. 1 июля 2022 года, вскоре после обновления контракта, злоумышленник обнаружил, что контракт проверяет согласие продавца на сделку, но не проверяет, согласился ли на нее покупатель. Это позволило ему продавать ничего не стоящие NFT любому кошельку, выдавшему доступ контракту, и заставлять этот кошелек расплачиваться токенами, на которые был выдан доступ.

Злоумышленник забрал токены на сумму около 150 тыс. долларов, все в сети Optimism. Сами NFT не пострадали. В течение нескольких часов Quixotic приостановил всю активность на маркетплейсе, попросил пользователей отменить открытые предложения и пообещал вернуть все украденные токены, после чего действительно вернул средства пострадавшим пользователям. С тех пор от владения контрактом биржи отказались, а значит, никто не может снова включить приостановленный контракт.

Поскольку контракт приостановлен навсегда и никто им больше не управляет, этот эксплойт больше нельзя использовать, чтобы забрать токены из вашего кошелька. И все же, если вы когда-либо делали предложения на Quixotic, доступы, которые вы выдали его старому контракту биржи, больше ни для чего не нужны, и отозвать их — это правило хорошей цифровой гигиены. Если сохранять только те доступы, которые вам действительно нужны, это ограничит ущерб, если другой контракт, которому вы выдали доступ, окажется уязвимым.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.