Аналіз поширених проблем у безпеці аудиту NFT-контрактів

У першій половині 2022 року в галузі NFT сталося кілька випадків безпеки, що призвели до збитків приблизно в 6490 мільйонів доларів. Основні методи атак включали використання уразливостей контрактів, витік приватних ключів та фішинг. Ці події підкреслили важливість аудиту безпеки контрактів NFT.

Огляд типових безпекових інцидентів

1. Подія TreasureDAO: через логічну вразливість, спричинену змішуванням токенів ERC-1155 та ERC-721, зловмисник зміг придбати NFT, сплативши 0 токенів.

2. Подія з аірдропом APE Coin: Контракт аірдропу використав миттєвий стан, що може бути контрольований через флеш-кредити, для визначення права власності на NFT, що дозволило зловмисникам позичити NFT та отримати аірдроп.

3. Подія Revest Finance: Вразливість повторного входу ERC-1155 дозволила зловмисникам повторно карбувати FNFT, що призвело до збитків приблизно в 120 тисяч доларів.

4. Подія з використанням проекту НБА: у контракті існують проблеми з верифікацією підписів, які дозволяють зловмисникам повторно використовувати або підробляти підписи.

5. Інцидент Akutar: логічна вразливість контракту призвела до блокування активів на суму приблизно 34 мільйони доларів, головною причиною є те, що не було враховано можливість подання ставок на кілька NFT.

6. Подія XCarnival: Логічна вразливість в контракті дозволила зловмисникам багаторазово використовувати недійсні записи застави для отримання кредитів, що призвело до збитків приблизно в 3,8 мільйона доларів.

Загальні питання щодо аудиту NFT-контрактів

1. Підробка підпису та повторне використання

   • Бракує перевірки на повторне виконання, як-от nonce користувача
   • Перевірка підпису є нерозумною, якщо не перевірено випадок, коли підписувач є нульовою адресою.

2. Логічна уразливість

   • Адміністратор може обійти обмеження на загальну кількість для випуску монет
   • В процесі аукціону існує ризик атак, що залежать від порядку угод.

3. Реінвація атаки ERC721/ERC1155

   • Використання функції сповіщення про перекази може призвести до атаки повторного входу

4. Занадто великий обсяг повноважень

   • Вимагає глобального дозволу, а не дозволу на окремий токен, що збільшує ризик крадіжки NFT

5. Маніпуляція цінами

   • Ціна NFT залежить від зовнішніх факторів, які можуть бути контрольовані, таких як кількість токенів у власності.

Ці проблеми часто виникають під час реальних атак, що підкреслює необхідність професійного безпекового аудиту. Команда проекту повинна звертати увагу на безпеку контрактів і шукати професійні установи для проведення комплексного аудиту з метою зменшення ризиків безпеки.