簡析 Blur、Element、Gem 等 NFT 交易平臺競爭優勢差異_CELO

作者：dily_xz

看到那么多無腦吹Blur的服了，APT空投吹APT，Blur空投吹Blur

今天仔細研究了一下他們產品，寫個總結記錄一下，順便橫向對比一下其他交易市場，先上結論：

滿足極少用戶的產品，而且目前跨鏈交易的Gas費控制極差，不建議使用。

1）為了方便闡述我的想法，畫了一張圖方便解釋，順便也整理一下思路簡單來說，NFT交易用戶可以分三部分：NFT小白用戶、普通用戶、專業人士。

2）人數最多的的用戶，他們對錢包原理不是特別清楚，也沒有太高的安全意識，還按照Web2的習慣看待NFT產品所以針對這些用戶有好多產品，比如幣安的NFT交易所、TP，不安全，但是方便啊但是目前這些用戶是最多的，但是還沒有哪個平臺完全滿足這些人的需求，簡單、安全、方便

安全公司：AurumNodePool合約遭受漏洞攻擊簡析:金色財經報道，據區塊鏈安全審計公司Beosin EagleEye監測顯示，2022年11月23日，AurumNodePool合約遭受漏洞攻擊。

Beosin分析發現由于漏洞合約的changeRewardPerNode函數未進行驗證，導致攻擊者可以調用該函數進行任意值設置。

攻擊者首先調用changeRewardPerNode函數將每日獎勵值設置成一個極大數，接下來調用claimNodeReward函數提取節點獎勵，而節點獎勵的計算取決于攻擊者設置的rewardPerDay值，導致計算的節點獎勵非常高。而在這一筆交易之前，攻擊者便通過一筆交易(0xb3bc6ca257387eae1cea3b997eb489c1a9c208d09ec4d117198029277468e25d)向合約存入了1000AUR，創建了攻擊者的節點記錄，從而使得攻擊者能夠提取出該節點獎勵。最終攻擊者通過該漏洞獲得約50個BNB($14,538.04)。[2022/11/23 8:01:04]

3）其實目前市場的核心力量在腰部用戶，也就是普通用戶他們已經可以熟練的使用錢包了，而且對各種釣魚方式也比較注意，各個Web3產品也如數家珍這個市場也是目前廝殺比較激烈的區域，包括龍頭Opensea、Element、X2Y2、Looks等平臺。

安全團隊：獲利約900萬美元，Moola協議遭受黑客攻擊事件簡析:10月19日消息，據Beosin EagleEye Web3安全預警與監控平臺監測顯示，Celo上的Moola協議遭受攻擊，黑客獲利約900萬美元。Beosin安全團隊第一時間對事件進行了分析，結果如下：

第一步：攻擊者進行了多筆交易，用CELO買入MOO,攻擊者起始資金（182000枚CELO）.

第二步：攻擊者使用MOO作為抵押品借出CELO。根據抵押借貸的常見邏輯，攻擊者抵押了價值a的MOO，可借出價值b的CELO。

第三步：攻擊者用貸出的CELO購買MOO，從而繼續提高MOO的價格。每次交換之后，Moo對應CELO的價格變高。

第四步：由于抵押借貸合約在借出時會使用交易對中的實時價格進行判斷，導致用戶之前的借貸數量，并未達到價值b，所以用戶可以繼續借出CELO。通過不斷重復這個過程，攻擊者把MOO的價格從0.02 CELO提高到0.73 CELO。

第五步：攻擊者進行了累計4次抵押MOO，10次swap（CELO換MOO），28次借貸，達到獲利過程。

本次遭受攻擊的抵押借貸實現合約并未開源，根據攻擊特征可以猜測攻擊屬于價格操縱攻擊。截止發文時，通過Beosin Trace追蹤發現攻擊者將約93.1%的所得資金 返還給了Moola Market項目方，將50萬CELO 捐給了impact market。自己留下了總計65萬個CELO作為賞金。[2022/10/19 17:32:31]

4）還有就是提到Blur，他是一些專業人士需要的平臺，追求原教旨主義、專業的交易平臺、注重交易成本之前這個領域一直是Gem和Genie的區域，現在Element也支持聚合交易，可以滿足跨市場掃貨的需求，Gas費用還便宜現在Blur是比這幾家還要極致，做的更加的專業化和細分

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

5）但是越往上用戶是越少的，也就是說Blur的目標人群極少，會比Gem和Genie還少這是最大的問題，他的天花板太低了，甚至就是個地板的用戶量還有他的UI，因為他大量的使用了像素風格，像素風格喜歡的人很喜歡，不喜歡的人是真不習慣，大多數人知道像素風么

Force DAO 代幣增發漏洞簡析:據慢霧區消息，DeFi 量化對沖基金 Force DAO 項目的 FORCE 代幣被大量增發。經慢霧安全團隊分析發現： 在用戶進行 deposit 操縱時，Force DAO 會為用戶鑄造 xFORCE 代幣，并通過 FORCE 代幣合約的 transferFrom 函數將 FORCE 代幣轉入 ForceProfitSharing 合約中。但 FORCE 代幣合約的 transferFrom 函數使用了 if-else 邏輯來檢查用戶的授權額度，當用戶的授權額度不足時 transferFrom 函數返回 false，而 ForceProfitSharing 合約并未對其返回值進行檢查。導致了 deposit 的邏輯正常執行，xFORCE 代幣被順利鑄造給用戶，但由于 transferFrom 函數執行失敗 FORCE 代幣并未被真正充值進 ForceProfitSharing 合約中。最終造成 FORCE 代幣被非預期的大量鑄造的問題。 此漏洞發生的主要原因在于 FORCE 代幣的 transferFrom 函數使用了`假充值`寫法，但外部合約在對其進行調用時并未嚴格的判斷其返回值，最終導致這一慘劇的發生。慢霧安全團隊建議在對接此類寫法的代幣時使用 require 對其返回值進行檢查，以避免此問題的發生。[2021/4/4 19:45:30]

6）還有就是他的設計理念，不太在乎普通人的感受，我雖然買了很多NFT但是自認算是普通交易者我沒有找到關于合集的信息，包括Twitter、官網等信息，更不用說基礎的數據分析了。這就把太多人擋在門外了。

7）我針對單個NFT分別測試了Element、Opensea、Blur的Gas費用Element：4.63Element：5.14Opensea：5.07Blur：10.5因為大部分都是聚合Opensea的，所以Opensea最便宜，但是Element自有更便宜。

8）大家經常使用的是聚合，Element因為是聚合了Opensea所以肯定會比Opensea高一點。但是，但是BlurGas居然高達10.5u，我當時就蒙了……最后才發現是他的業務邏輯太復雜了，Gas費用飆升，但是只是聚合交易而已你在做什么呢？當然除了單個的我還做了批量掃貨的聚合交易測試。

9）針對5個NFT批量測試了Element、Opensea、Blur的Gas費用Element：22.33Element：17.77Opensea：15.59Blur：56.38太貴了，雖然只是預估價格，我還專門買了NFT測試，結果也是是真貴，他的聚合合約邏輯太復雜了。

10）大家也在找各自的定位，但是Blur目前的定位非常不看好而且真正的專業交易者會直接調用OpenseaAPI不會經過他的合約再來一道，便宜、快、安全。

目前關注Opensea的求新求變，Element和X2Y2根據社區用戶的產品迭代。以上，供大家參考。

Tags：FORCEORCFORCELOdforce幣最新消息orc幣為什么這幾天大跌Forever Burncelo幣為什么暴跌

狗狗幣價格