Analisis Masalah Umum dalam Audit Keamanan Kontrak NFT

Pada paruh pertama tahun 2022, terjadi beberapa insiden keamanan di bidang NFT yang menyebabkan kerugian sekitar 64,9 juta dolar AS. Metode serangan utama termasuk eksploitasi kerentanan kontrak, kebocoran kunci pribadi, dan phishing. Insiden-insiden ini menyoroti pentingnya audit keamanan kontrak NFT.

Tinjauan Peristiwa Keamanan Khas

1. Peristiwa TreasureDAO: Karena penggunaan campuran token ERC-1155 dan ERC-721 yang menyebabkan kerentanan logika, penyerang dapat membeli NFT dengan membayar 0 token.

2. APE Coin airdrop event: Kontrak airdrop menggunakan status instan yang dapat dimanipulasi oleh pinjaman kilat untuk menentukan kepemilikan NFT, yang memungkinkan penyerang meminjam NFT dan mendapatkan airdrop.

3. Peristiwa Revest Finance: Kerentanan reentrancy ERC-1155 memungkinkan penyerang untuk mencetak ulang FNFT, menyebabkan kerugian sekitar 120.000 dolar.

4. Kasus meraup keuntungan dari proyek NBA: Terdapat masalah pemalsuan dan penggunaan ulang tanda tangan dalam kontrak, yang memungkinkan penyerang untuk menggunakan kembali atau memalsukan tanda tangan.

5. Peristiwa Akutar: Kerentanan logika kontrak menyebabkan aset senilai sekitar 34 juta dolar terkunci, penyebab utamanya adalah tidak mempertimbangkan situasi di mana pengguna dapat mengajukan tawaran untuk beberapa NFT.

6. Peristiwa XCarnival: Kerentanan logika dalam kontrak memungkinkan penyerang untuk secara berulang menggunakan catatan jaminan yang tidak valid untuk meminjam, menyebabkan kerugian sekitar 3,8 juta dolar.

Masalah Umum dalam Audit Kontrak NFT

1. Penandatanganan yang disalahgunakan dan digunakan kembali

   • Kurang verifikasi eksekusi ulang, seperti nonce pengguna
   • Pemeriksaan tanda tangan tidak wajar, seperti tidak memeriksa keadaan di mana penanda tangan adalah alamat nol.

2. Celah logika

   • Administrator dapat melewati batas jumlah untuk mencetak koin
   • Ada risiko serangan ketergantungan urutan transaksi selama proses lelang.

3. Serangan reentrancy ERC721/ERC1155

   • Menggunakan fungsi pemberitahuan transfer dapat menyebabkan serangan reentrancy

4. Ruang lingkup otorisasi terlalu besar

   • Meminta izin global alih-alih izin token tunggal, meningkatkan risiko pencurian NFT

5. Manipulasi harga

   • Harga NFT tergantung pada faktor eksternal yang dapat dikendalikan, seperti jumlah kepemilikan token.

Masalah ini sering muncul dalam serangan nyata, menekankan pentingnya audit keamanan profesional. Pihak proyek harus memperhatikan keamanan kontrak dan mencari lembaga profesional untuk melakukan audit menyeluruh guna mengurangi risiko keamanan.