NFT契約のセキュリティ監査における一般的な問題と典型的なケーススタディ

最近、NFT分野におけるセキュリティ事件が頻発し、巨大な経済損失を引き起こしました。ブロックチェーンセキュリティモニタリングデータによると、2022年上半期に合計10件の重大なNFTセキュリティ事件が発生し、約6490万ドルの損失をもたらしました。これらの事件の主な攻撃手法には、契約の脆弱性の悪用、秘密鍵の漏洩、フィッシングなどが含まれます。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/webp-social/moments-f85923b3f0a55ae7230fc5950c904d1e.webp)

典型的なセキュリティ事件の分析

TreasureDAOイベント

2022年3月3日、TreasureDAO取引プラットフォームが攻撃を受け、100以上のNFTが盗まれました。脆弱性はTreasureMarketplaceBuyer契約内の論理エラーに起因しており、ERC-1155とERC-721トークンを正しく区別していなかったため、攻撃者は支払いなしでNFTを購入できました。

APE Coinエアドロップイベント

2022年3月17日、攻撃者はフラッシュローンを利用して6万枚以上のAPE Coinエアドロップを取得しました。問題はAirdropGrapesTokenコントラクトにあり、エアドロップの資格判定が瞬時の状態のみに基づいており、攻撃者によってフラッシュローンで操作されました。

Revest Financeイベント

2022年3月27日、Revest Financeが攻撃を受け、約12万ドルの損失を被りました。脆弱性はERC-1155の再入攻撃に関連しており、契約が新しいFNFTを鋳造する際に状態変更の順序を正しく処理していなかったことに起因しています。

NBAのハウヤンモー事件

2022年4月21日、NBAプロジェクトが攻撃を受けました。問題はThe_Association_Sales契約の署名検証メカニズムにあり、署名の不正利用と再利用のリスクが存在します。

Akutarイベント

2022年4月23日、AkutarプロジェクトのAkuAuction契約のdueロジックの脆弱性により、11539 ETH（約3400万ドル）がロックされました。主な問題には、返金関数の設計欠陥とユーザーの複数入札の状況を考慮していないことが含まれます。

XCarnival イベント

2022年6月24日、NFT貸出プロトコルのXCarnivalが攻撃を受け、約380万ドルの損失が発生しました。XNFT契約のpledgeAndBorrow関数には論理的な脆弱性があり、質権NFTの有効性が正しく検証されていませんでした。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/webp-social/moments-1888562fb8639d0fb586b639d3e5eb87.webp)

NFT契約監査のよくある質問

1. サインの悪用と再利用：

   • 署名の再利用検証が欠如しています
   • 署名チェックのロジックが不正確です

2. ロジックの欠陥：

   • コイン発行量の管理が不適切
   • オークションプロセスにおける取引順序は攻撃に依存する

3. ERC721/ERC1155 リエントランシー攻撃:

   • 転送通知機能は再入を引き起こす可能性があります

4. 権限の範囲が広すぎる：

   • 不要なグローバル権限はセキュリティリスクを増加させる

5.価格操作:

• NFTの価格は操作されやすい外部要因に依存しています。

これらの問題は、実際の攻撃でハッカーによって頻繁に利用されます。したがって、NFTプロジェクトに対する専門的なセキュリティ監査は非常に重要であり、潜在的なセキュリティリスクを効果的に防ぎ、ユーザーの資産の安全を守ることができます。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/social/moments-d101c45dd9b43f58f7f9c7919dd3918)