NFTコントラクトのセキュリティ分析:今年上半期の主なイベントと一般的な問題

2022年上半期、NFT分野では多くのセキュリティ事件が発生し、巨額の損失をもたらしました。データ統計によると、この期間に合計10件の主要なNFTセキュリティ事件が発生し、総損失は約6490万ドルです。攻撃手法は主に契約の脆弱性の悪用、秘密鍵の漏洩、フィッシングなどが含まれます。特に、Discordプラットフォーム上でのフィッシング事件が頻発しており、ほぼ毎日サーバーが攻撃を受けており、個人ユーザーが頻繁に損失を被っています。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/webp-social/moments-f85923b3f0a55ae7230fc5950c904d1e.webp)

典型的なセキュリティ事件の分析

TreasureDAOイベント

3月3日、TreasureDAO取引所が攻撃を受け、100以上のNFTが盗まれました。原因は契約に論理的な脆弱性が存在し、ERC-1155およびERC-721トークンの混用により論理が混乱したことです。契約はトークンの種類を判断せず、ERC-20トークンの支払い額が0の場合でもトークンの購入を許可しました。

APE Coinエアドロップイベント

3月17日、ハッカーはフラッシュローンを利用して6万枚以上のAPEコインのエアドロップを取得しました。バグは、エアドロップ契約がNFTの所有権を瞬時の状態で判断するだけであり、その状態はフラッシュローンによって操作可能であるということです。

Revest Financeイベント

3月27日、Revest Financeが攻撃を受け、12万ドルの損失を被りました。原因はERC-1155の再入攻撃の脆弱性で、契約は新しいFNFTを鋳造する際に既に存在するかどうかをチェックせず、状態変数の自動増加が鋳造関数の後に行われたため、再入攻撃が発生しました。

NBAハウヤンモウ事件

4月21日、NBAプロジェクトが攻撃されました。問題はホワイトリスト検証の署名検証方法にあり、署名の悪用と再利用という二つのセキュリティリスクが存在します。

Akutarイベント

4月23日、Akutarプロジェクトの契約の脆弱性により、3400万ドルの資産がロックされました。主な原因は、返金関数のロジックエラーであり、ユーザーが複数のNFTに入札できる状況を考慮していませんでした。

XCarnival イベント

6月24日、XCarnivalが攻撃され、約380万ドルの損失を被りました。脆弱性は、契約が質押されたNFTのxTokenアドレスの有効性を確認せず、担保記録の状態を検査していなかったことにあります。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/webp-social/moments-1888562fb8639d0fb586b639d3e5eb87.webp)

NFT契約に関するよくある質問

1. 署名の悪用と再利用：繰り返し実行の検証が不足しており、署名のチェックが不合理である。

2. ロジックの欠陥：管理者は総量制限を回避してコインを発行でき、オークション中に取引順序依存攻撃のリスクが存在します。

3. ERC721/ERC1155 リエントランシー攻撃:転送通知機能の使用時にリエントランシーが発生する場合があります。

4. 権限の範囲が広すぎる：単一のトークンの権限ではなく、グローバルな権限を要求することで、NFTの盗難リスクが増加します。

5. 価格操縦：NFT価格は外部契約トークンの保有量に依存し、フラッシュローンの影響を受けやすい。

! 【上半期のNFTセキュリティインシデントの分析:警戒すべき典型的なケースは何か】 ](https://img-cdn.gateio.im/social/moments-d101c45dd9b43f58f7f9c7919dd3918)

これらの一般的な問題を考慮すると、NFT契約の専門的なセキュリティ監査が特に重要であることがわかります。プロジェクトチームは、潜在的な巨額の損失を防ぐために契約の安全性を重視すべきです。