Множественные коллекции NFT находятся под угрозой из-за ошибки в библиотеке с открытым исходным кодом
Уязвимость в библиотеке с открытым исходным кодом, распространенная в пространстве Web3, влияет на безопасность предварительно созданных смарт-контрактов, затрагивая несколько коллекций NFT, включая Coinbase.
Об этом сегодня сообщила платформа разработки Web3 Thirdweb. В объявлении содержится минимум подробностей, что раздражало некоторых пользователей, желавших получить разъяснения, которые могли бы помочь им защитить контракты.
Третья паутина сообщила , что узнала об уязвимости 20 ноября и предложила исправление через два дня, но не раскрыла название библиотеки, а также тип или серьезность уязвимости, чтобы предотвратить предупреждение злоумышленников. .
Компания заявляет, что у нее есть - nbsp; связался с сопровождающими уязвимой библиотеки, а также предупредил другие протоколы и организации о проблеме, поделившись выводами и способами устранения.
Уязвимость затрагивает следующие смарт-контракты:
AirdropERC20 (v1.0.3 и новее), ERC721 (v1.0.4 и новее), ERC1155 (v1.0.4 и новее) ERC20Claimable, ERC721Claimable, ERC1155Claimable
BurnToClaimDropERC721 (все версии)
DropERC20, ERC721, ERC1155 (все версии)
Дисконтная карта
Торговая площадкаV3 (Все версии)
Мультиобертка, Multiwrap_OSRoyaltyFilter
OpenEditionERC721 (v1.0.0 и новее)
Пакет и Pack_OSRoyaltyFilter
TieredDrop (все версии)
ТокенERC20, ECRC721, ERC1155 (все версии)
SignatureDrop, SignatureDrop_OSRoyaltyFilter
Сплит (низкое воздействие)
TokenStake, NFTStake, EditionStake (все версии)
«Если вы использовали наш Solidity SDK для расширения нашего базового контракта или создания специального контракта, мы не считаем, что уязвимость распространяется на ваш контракт», — объясняет Thirdweb, добавляя, что это не гарантия, поскольку они «не могут проверять отдельные контракты». ."
Thirdweb поделился подробностями эксплойта с сопровождающими затронутой библиотеки и заявил, что не видел, чтобы уязвимость использовалась в атаках.
Пользователи недовольны отсутствием прозрачности
Отсутствие подробностей побудило некоторых пользователей попросить разъяснений или предположим что проблема связана с реализацией библиотеки Thirdweb.
Один пользователь пожаловался на отсутствие прозрачности и попросил указать идентификатор уязвимости CVE (Common Vulnerabilities and Exposures) и объяснить, как работает ее устранение.
источник: Нури
Блокировка уязвимых контрактов
Thirdweb заявила, что владельцы смарт-контрактов должны немедленно принять меры по смягчению последствий для всех готовых контрактов, созданных до 22 ноября 2023 года, 19:00 по тихоокеанскому времени.
Совет — заблокировать уязвимые контракты, сделать снимок, а затем перенести его на новый контракт, созданный с использованием неуязвимой версии библиотеки. Специальный инструмент и руководство по смягчению последствий затронутых контрактов: представлено здесь .
Thirdweb заявила, что будет предлагать ретроактивные гранты на газ для покрытия смягчения последствий контракта - nbsp; но пользователи должны - nbsp; заполните форму для одобрения.
Естественно, это предупреждение вызвало беспокойство у владельцев ценных NFT, и крупные торговые платформы NFT уже отреагировали на ситуацию.
В объявлении в понедельник Coinbase NFT заявила , что узнала об уязвимости в прошлую пятницу и что она затрагивает некоторые из ее коллекций, созданных с помощью Thirdweb.
«Coinbase сама по себе эта проблема не затрагивает, и все средства на Coinbase в безопасности», — добавляет платформа обмена криптовалютой.
Разработчики библиотеки OpenZeppelin для разработки смарт-контрактов также были проинформированы о проблеме, затрагивающей версии Thirdweb DropERC20, ERC721, ERC1155 (все версии) и предварительно созданный контракт AirdropERC20.
«Согласно нашему исследованию, проблема связана с проблемной интеграцией конкретных шаблонов, а НЕ связана с реализациями, содержащимися в библиотеке OpenZeppelin Contracts» - OpenZeppelin
Mocaverse, членская коллекция NFT для экосистемы Animoca Brands, также сообщила своим пользователям, что их активы в безопасности и что она «успешно обновила смарт-контракты коллекции Mocaverse NFT, Lucky Neko и Mocaverse Relic, чтобы закрыть соответствующую уязвимость безопасности».
Во вторник, после принятия всех мер по смягчению последствий, где это возможно, Mocaverse просигнализировала о потенциальном риске дочерним компаниям Animoca Brands, позволив им принять необходимые меры для безопасности активов своих пользователей.
«Для контрактов, которые не подлежат обновлению, включая Realm Ticket и Почетную коллекцию, мы заблокировали соответствующие контракты и сделали снимок всех данных, а затем разрешим первоначальным владельцам требовать NFT на основе предыдущего владения через Thirdweb. на новом смарт-контракте без известной уязвимости" - Мокаверс
Аналогично, OpenSea имеет объявили , что они тесно сотрудничают с Thirdweb, чтобы снизить связанные с этим риски и планировать помощь пострадавшим пользователям.
