Анализ безопасности NFT-контрактов: типичные события и распространенные проблемы

В первой половине 2022 года в области NFT произошло множество инцидентов с безопасностью, что привело к значительным экономическим потерям. Согласно данным мониторинговой платформы, в этот период произошло 10 основных инцидентов с безопасностью, общая сумма убытков составила около 6490 долларов США. Способы атак в основном включали эксплуатацию уязвимостей контрактов, утечку приватных ключей и фишинг. В то же время серверы Discord подвергались частым атакам, что привело к тому, что пользователи часто теряли деньги из-за нажатия на фишинговые ссылки.

Анализ типичных инцидентов безопасности

Событие TreasureDAO

3 марта 2022 года платформа обмена TreasureDAO была взломана, в результате чего было украдено более 100 NFT. Корень проблемы заключается в логической уязвимости контракта TreasureMarketplaceBuyer. В функции buyItem контракт не проверяет тип токена, а напрямую умножает _quantity на _pricePerItem для расчета totalPrice, что позволяет злоумышленнику покупать токены с платежом ERC-20 равным 0. Эта проблема вызвана логическим путаницей, возникшим из-за смешивания токенов ERC-1155 и ERC-721; у токенов ERC-721 изначально нет концепции количества, но контракт использует количество для расчета цены, и при реализации перевода не проводит логическое разделение.

Событие аэронавигации APE Coin

17 марта 2022 года хакеры получили более 60 000 APE Coin через Flash Loan. В контракте AirdropGrapesToken существовал логический недостаток, который использовал только alpha.balanceOf() и beta.balanceOf() для определения прав собственности вызывающего на BAYC/MAYC NFT. Этот метод позволяет получить лишь мгновенное состояние прав собственности пользователя на NFT, которое может быть манипулировано через Flash Loan. Злоумышленники использовали этот недостаток, взяв в Flash Loan BAYC NFT и получив соответствующий airdrop.

Событие Revest Finance

27 марта 2022 года Revest Finance подвергся хакерской атаке, в результате которой было потеряно около 120 000 долларов США. В контракте Revest имелась уязвимость повторного входа ERC-1155. Когда пользователь использует depositAdditionalToFNFT() для добавления активов в FNFT, контракт сначала должен уничтожить оригинальный FNFT, а затем создать новый FNFT. Однако функция min() не проверяла, существует ли уже создаваемый FNFT, и инкремент fnftId выполнялся после _mint(). Внешний вызов _doSafeTransferAcceptanceCheck() в _min() привел к уязвимости повторного входа.

NBA хау-янгмао 사건

21 апреля 2022 года проект NBA подвергся хакерской атаке. В контракте The_Association_Sales существуют две основные проблемы с использованием проверки подписи в белом списке: повторное использование подписи, из-за того что контракт не сохраняет использованные подписи, что позволяет злоумышленнику повторно их использовать; и подделка подписи, так как при передаче параметра info в параметре vData memory не проверяется msg.sender.

Событие Akutar

23 апреля 2022 года, контракт AkuAuction проекта Akutar из-за уязвимости смарт-контракта привел к блокировке 11539 ETH( на сумму около 34 миллионов долларов). В контракте обнаружены два логических уязвимости: первая заключается в том, что функция возврата processRefunds использует функцию call для возврата средств и использует результат в качестве условия для require, что позволяет злоумышленнику в fallback несанкционированно отклонять и тем самым блокировать возврат; вторая заключается в том, что условие в функции возврата не учитывает возможность того, что пользователь может делать ставки на несколько NFT, что делает невозможным выполнение последующих операций возврата.

Событие XCarnival

24 июня 2022 года, протокол кредитования NFT XCarnival был атакован, хакеры заработали 3087 эфиров на сумму около 3,8 миллиона долларов (. Функция pledgeAndBorrow контракта XNFT не проверяла, находится ли адрес xToken в белом списке при залоге NFT, и не проверяла статус залоговых записей при кредитовании, что позволило злоумышленникам многократно использовать недействительные залоговые записи для кредитования.

![Анализ событий безопасности NFT за первую половину года: какие типичные случаи заслуживают нашего внимания?])https://img-cdn.gateio.im/webp-social/moments-1888562fb8639d0fb586b639d3e5eb87.webp(

Часто задаваемые вопросы по аудиту NFT-контрактов

1. Подделка и повторное использование подписи:

   • Данные подписи не содержат проверки на повторное выполнение, можно повторно использовать данные подписи для чеканки NFT
   • Проверка подписи неразумна, любой пользователь может произвести чеканку через проверку

2. Логическая уязвимость:

   • Администратор может создавать монеты особым способом без ограничения общего объема, что приводит к фактическому количеству NFT, превышающему ожидания.
   • При аукционе NFT победитель может изменить цену ставки с помощью атаки по зависимостям от порядка сделок, чтобы получить NFT по низкой цене.

3. ERC721/ERC1155 повторная атака:

   • Использование функции уведомления о переводе может привести к атаке повторного входа, если контракт NFT отправляет вызов целевому контракту.

4. Слишком широкий объем полномочий:

   • Требуется авторизация _operatorApprovals при ставке или аукционе, что может привести к риску кражи NFT

5. Манипуляция ценами:

   • Цена NFT зависит от количества токенов определённого контракта, злоумышленники могут использовать кредитование под залог для искусственного завышения цены, что приводит к аномальной ликвидации заложенных NFT.

Учитывая частоту инцидентов с безопасностью NFT-контрактов и то, что распространенные уязвимости, выявленные в ходе аудита, часто используются на практике, крайне необходимо привлечь профессиональную безопасность для проведения всестороннего аудита NFT-контрактов.

![Анализ инцидентов с безопасностью NFT за первое полугодие: какие типичные случаи стоит нам насторожить?])https://img-cdn.gateio.im/webp-social/moments-d101c45ddd9b43f58f7f9c7919dd3918.webp(