Похитивший более 100 NFT с платформы Treasure хакер начал возврат активов

Неизвестный использовал уязвимость NFT-маркетплейса Treasure на базе протокола второго уровня Arbitrum для кражи свыше 100 из выставленных на продажу активов. Через несколько часов хакер начал возврат похищенного. 

1/ The @Treasure_DAO was exploited in a series of txs (one hack tx: https://t.co/rUTIGgWEth), leading to 100+ NFTs stolen from several collections of Treasure Marketplace.— PeckShield Inc. (@peckshield) March 3, 2022

Баг позволял покупать NFT за ноль токенов MAGIC, используемых на площадке.  Соучредитель Treasure DAO Джон Паттен подтвердил взлом и призвал пользователей убрать активы с продажи. 

"Маркетплейс Treasure подвергся эксплойту. Пожалуйста, удалите свои товары из листинга. Мы возместим все потери — я лично откажусь от всех своих Smol, чтобы исправить это", — написал он. 

Общая сумма ущерба неизвестна. Исследователь под ником Jacob H. отследил один из адресов хакера, который за полчаса совершил 16 "покупок" за 0 MAGIC. Затраты на приобретение токенов из коллекций Smol Brains и Legion составили менее $5 на транзакцию в виде платы за газ. 

This wallet made 16 "purchases" in 30 minutes for 0 $MAGIC. They bought a lot of Smol Brains and a few Legion. Every purchase cost <$5 in gas and 0 $MAGIC. https://t.co/gwvIfpi9A3 pic.twitter.com/qNbrsvtMEK— Jacob H. (@lukenamop) March 3, 2022

Оценочная стоимость этих активов суммарно составляет около 426 511 MAGIC (~$1,44 млн).

На еще один адрес подобным образом поступил 21 NFT.

Эксперт рекомендовал пользователям в целях безопасности активов убрать их из листинга всех NFT-маркетплейсов на Arbitrum.

"Мы считаем, что выявили и устранили причину проблемы. Это был базовый баг, возникший вследствие предыдущего исправления, который мы должны были обнаружить раньше", —