2022年3月3日，Arbitrum生态上最大的NFT市场Treasure marketplace遭遇严重安全漏洞，黑客通过一系列交易以零成本购得大量NFT，引发社区恐慌。然而，仅数小时后，区块链记录显示黑客几乎归还了所有被盗资产，为受害者带来一线希望。
漏洞细节：零成本购买NFT
根据区块链安全公司PeckShield的分析，攻击者利用了Treasure协议中的“零数量”bug。在调用buyItem()函数时，攻击者传入有效的NFT代币和ID，但将数量参数设为无效的零值，导致平台收取了零个MAGIC代币（Treasure平台的原生代币），从而免费购得NFT。此次攻击涉及超过100枚NFT，涵盖多个知名系列，包括最受欢迎的Smol Brains和Legions。
Treasure官方在推特和Discord中确认了攻击，并紧急要求用户下架所有挂单。Treasure DAO联合创始人John Patten当时表示：“请下架你们的物品。我们将承担此次攻击的成本——我愿意放弃我所有的Smols来修复这一切。”
黑客归还NFT，社区庆幸
令人惊讶的是，攻击发生后不久，链上交易记录显示黑客开始逐步归还被盗NFT。社区成员@Br0keboy96在推特上首先发现了这一好转，并发布消息：“几乎所有被黑NFT正在归还。你的Smols和Legions很快会回到你身边，朋友们。”这一举动被广泛解读为黑客的“善意”或迫于社区压力。截至发稿，绝大多数被盗NFT已被退回原钱包。
Treasure团队在Discord中进一步透露，针对那些未自动收回资产的用户，DAO正在制定补偿方案。他们表示：“一旦我们获得剩余受影响用户的完整名单，我们将提出一系列补救选项，确保用户得到完全补偿。这些选项将提交社区讨论并由DAO投票表决。”
市场影响：MAGIC代币暴跌后反弹
该事件对Treasure生态系统造成了沉重打击。其原生代币MAGIC在攻击消息传出后急剧下跌约40%，价格一度跌至2.522美元。然而，随着黑客归还NFT以及补偿计划的公布，市场情绪有所恢复。根据CoinMarketCap数据，截至本文撰写时，MAGIC价格已回升至3.38美元，24小时跌幅收窄至10%。不过，投资者信心仍受到一定影响，部分用户对协议安全性提出质疑。
Treasure是Arbitrum上最大的NFT市场，其生态涵盖游戏、元宇宙等多个领域。此次事件暴露出智能合约中参数校验不足的常见风险。尽管黑客归还资产减轻了直接损失，但安全审计和漏洞修复仍是去中心化平台的长期挑战。
目前，Treasure团队已部署修复补丁，并承诺未来将加强安全措施。社区也呼吁提供赏金计划以鼓励白帽黑客发现漏洞。对于整个NFT市场而言，这一事件再次提醒用户：链上资产安全最终依赖于代码的严谨和社区的快速响应。