تحليل الأسئلة الشائعة في تدقيق أمان عقود NFT

في النصف الأول من عام 2022، شهدت مجال NFT العديد من حوادث الأمان، مما أدى إلى خسائر تقدر بحوالي 64.9 مليون دولار. وكانت طرق الهجوم الرئيسية تشمل استغلال ثغرات العقود، وتسرب المفاتيح الخاصة، والتصيد الاحتيالي، وغيرها. تسلط هذه الحوادث الضوء على أهمية تدقيق أمان عقود NFT.

مراجعة الأحداث الأمنية النموذجية

1. حدث TreasureDAO: أدى الخلط بين رموز ERC-1155 و ERC-721 إلى ثغرة منطقية، مما أتاح للمهاجمين شراء NFT دون دفع أي رموز.

2. حدث توزيع APE Coin: استخدم عقد التوزيع حالة فورية يمكن التحكم فيها بواسطة القروض الفورية لتحديد ملكية NFT، مما أدى إلى تمكّن المهاجمين من اقتراض NFT والحصول على التوزيع.

3. حدث Revest Finance: ثغرة إعادة الدخول في ERC-1155 سمحت للمهاجمين بإعادة سك FNFT، مما أدى إلى خسارة تقارب 120,000 دولار.

4. حادثة استغلال مشروع NBA: توجد مشاكل في التحقق من التوقيع في العقد، مما يسمح للمهاجمين بإعادة استخدام أو انتحال التوقيع.

5. حادثة Akutar: أدت ثغرة في منطق العقد إلى قفل أصول بقيمة حوالي 34 مليون دولار، والسبب الرئيسي هو عدم النظر في إمكانية تقديم المستخدمين لعروض لعدة NFTs.

6. حدث XCarnival: سمحت الثغرات المنطقية في العقد للمهاجمين باستخدام سجلات ضمان غير صالحة بشكل متكرر للاقتراض، مما أدى إلى خسائر تقدر بحوالي 3.8 مليون دولار.

الأسئلة الشائعة في تدقيق عقود NFT

1. انتحال التوقيع وإعادة استخدامه

   • عدم وجود تحقق من التنفيذ المتكرر، مثل nonce المستخدم
   • فحص التوقيع غير معقول، مثل عدم فحص حالة الموقّع الذي هو عنوان صفر

2. ثغرة منطقية

   • يمكن للمسؤولين تجاوز حد الكمية لإصدار العملات
   • هناك خطر هجمات تعتمد على ترتيب المعاملات أثناء عملية المزاد

3. هجوم إعادة الدخول ERC721/ERC1155

   • استخدام ميزة إشعار التحويل قد يؤدي إلى هجمات إعادة الدخول

4. نطاق التفويض واسع جدًا

   • يتطلب تفويضًا عالميًا بدلاً من تفويض رمز فردي، مما يزيد من خطر سرقة NFT

5. التحكم في الأسعار

   • يعتمد سعر NFT على عوامل خارجية يمكن التحكم فيها، مثل كمية حيازة الرموز.

تظهر هذه المشاكل بشكل متكرر في الهجمات الفعلية، مما يبرز ضرورة التدقيق الأمني المهني. يجب على فريق المشروع أن يولي أهمية لأمان العقود، وأن يسعى إلى مؤسسات متخصصة لإجراء تدقيق شامل، لتقليل المخاطر الأمنية.