Seguridad de contratos NFT: revisión de eventos del primer semestre de 2022 y puntos clave de auditoría

En la primera mitad de 2022, ocurrieron frecuentes incidentes de seguridad en el campo de los NFT, causando enormes pérdidas económicas. Según estadísticas, durante este período se produjeron 10 incidentes importantes de seguridad de NFT, con pérdidas totales de aproximadamente 64.9 millones de dólares. Estos incidentes involucraron principalmente la explotación de vulnerabilidades en contratos, filtración de claves privadas y ataques de phishing. Cabe destacar que los ataques de phishing en la plataforma Discord fueron especialmente rampantes, con usuarios que sufrían pérdidas casi a diario al hacer clic en enlaces maliciosos.

Análisis de eventos de seguridad típicos

1. Evento TreasureDAO (3 de marzo de 2022)

   • Pérdida: más de 100 NFT robados
   • Razón: Vulnerabilidad en la lógica del contrato, el uso mixto de tokens ERC-1155 y ERC-721 ha causado errores de valoración

2. Evento de airdrop de APE Coin (17 de marzo de 2022)

   • Pérdida: los hackers obtuvieron más de 60,000 APE Coin en airdrop
   • Razón: Vulnerabilidad en la lógica del contrato, no se verificó correctamente la propiedad del NFT

3. Evento de Revest Finance (27 de marzo de 2022)

   • Pérdida: aproximadamente 120,000 dólares estadounidenses
   • Razón: Vulnerabilidad de reentrada ERC-1155

4. Evento de aprovechamiento del proyecto NBA (21 de abril de 2022)

   • Razón: Problemas de suplantación y reutilización de firma

5. Evento Akutar (23 de abril de 2022)

   • Pérdida: 11539ETH (aproximadamente 34 millones de dólares) bloqueados en el contrato
   • Razón: vulnerabilidad en la lógica del contrato, diseño inadecuado de la función de reembolso

6. Evento de XCarnival (24 de junio de 2022)

   • Pérdida: 3087 Ethereum (aproximadamente 3.8 millones de dólares)
   • Razón: Vulnerabilidad en la lógica del contrato, defectos en los procesos de staking y préstamo

Preguntas frecuentes sobre la auditoría de contratos NFT

1. Suplantación y reutilización de firmas

   • Falta la validación de ejecución repetida
   • La verificación de la firma no es razonable

2. Vulnerabilidad lógica

   • Control inadecuado de la cantidad total de monedas
   • El orden de las transacciones durante el proceso de subasta depende de un ataque

3. Ataque de reentrada ERC721/ERC1155

   • La función de notificación de transferencia puede causar reingreso

4. Alcance de autorización demasiado amplio

   • La autorización general innecesaria aumenta el riesgo de seguridad

5. Manipulación de precios

   • El precio del NFT puede estar relacionado con factores externos.

Estos incidentes de seguridad y problemas de auditoría destacan los numerosos riesgos en el proceso de diseño e implementación de contratos de proyectos NFT. Para prevenir que ocurran eventos similares, los equipos de proyecto deben dar importancia a la seguridad de los contratos inteligentes y buscar servicios de auditoría de equipos de seguridad profesionales. Solo a través de una revisión de seguridad integral y rigurosa se puede garantizar al máximo la operación segura de los proyectos NFT y proteger los derechos de los usuarios.