Безопасность NFT-контрактов: Обзор событий первой половины 2022 года и анализ распространенных вопросов

В первой половине 2022 года в области NFT часто происходили инциденты безопасности, что привело к значительным экономическим потерям. Согласно данным платформы мониторинга, произошло 10 основных инцидентов безопасности с общими убытками около 64,9 миллиона долларов. Основные методы атак включали использование уязвимостей контрактов, утечку приватных ключей и фишинг. Следует отметить, что инциденты фишинга в Discord происходят почти каждый день, что приводит к частым потерям среди индивидуальных пользователей.

Обзор типичных инцидентов безопасности

Событие TreasureDAO

3 марта платформа обмена TreasureDAO подверглась хакерской атаке, в результате которой было украдено более 100 NFT. Уязвимость возникла из-за логической ошибки в контракте TreasureMarketplaceBuyer, который не проверял тип токена перед расчетом цены, что позволило приобрести NFT без затрат. Этот инцидент выявил логические риски, связанные с смешением токенов ERC-1155 и ERC-721.

Событие аирдропа APE Coin

17 марта хакеры получили более 60 000 APE Coin через флеш-займы. Уязвимость контракта AirdropGrapesToken заключается в том, что право собственности на NFT определяется только по мгновенному балансу, что позволяет злоумышленникам одолжить NFT и мгновенно получить аирдроп.

Событие Revest Finance

27 марта Revest Finance подвергся атаке, потеряв 120 000 долларов США. Уязвимость заключалась в повторном входе ERC-1155, контракт не проводил достаточную проверку при создании новых FNFT, что привело к уязвимости повторного входа.

NBA хайп-скандал

21 апреля проект NBA подвергся атаке. В контракте The_Association_Sales при проверке в белом списке были проблемы с подделкой и повторным использованием подписей, не велась запись и проверка уже использованных подписей.

Акутар事件

23 апреля, у проекта Akutar в контракте AkuAuction произошла уязвимость, в результате которой было заблокировано 11,5 тыс. ETH (примерно 34 млн долларов). Основные проблемы включают возможность злонамеренного прерывания функции возврата средств, а также отсутствие учета ситуации с многократными ставками пользователей, что приводит к постоянному провалу возврата средств.

Событие XCarnival

24 июня XCarnival подвергся атаке, потеряв 3087 ETH (около 3,8 миллиона долларов). Контракт XNFT не проверял адрес xToken в белом списке при ставке NFT и не проверял статус записи залога при кредитовании, что позволяло злоумышленнику повторно использовать недействительные записи залога для получения кредита.

Часто задаваемые вопросы по аудиту NFT-контрактов

1. Подделка и повторное использование подписи:

   • Отсутствует проверка на повторное выполнение, например, nonce пользователя
   • Проверка подписи неадекватна, если не проверяется ситуация с нулевым адресом

2. Логическая уязвимость:

   • Администраторы могут обходить лимит общего объема при создании монет.
   • В процессе аукциона существует риск атак с зависимостью от порядка сделок

3. Повторная атака ERC721/ERC1155:

   • Функция уведомления о переводе может привести к атаке повторного входа

4. Слишком широкая область полномочий:

   • Требуется чрезмерная авторизация, что увеличивает риск кражи NFT

5. Манипуляция ценами:

   • Цена NFT зависит от внешнего контракта и может быть манипулирована через Flash Loan

Учитывая эти распространенные проблемы и фактически произошедшие инциденты безопасности, профессиональный аудит безопасности контрактов NFT становится особенно важным. Проектные команды должны уделять внимание безопасности контрактов и принимать комплексные меры защиты, чтобы снизить потенциальные риски.