NFT Sözleşmesi Güvenliği: İlk Yarının Olay Analizi ve Yaygın Sorunların Tartışılması

2022 yılının ilk yarısında, NFT alanında güvenlik olayları sıkça meydana geldi ve büyük kayıplara neden oldu. Veri platformlarının izlemelerine göre, toplamda 10 ana güvenlik olayı gerçekleşti ve yaklaşık 64.90 milyon dolar kayıp yaşandı. Saldırı yöntemleri arasında sözleşme açıklarının kötüye kullanılması, özel anahtar sızıntısı ve kimlik avı gibi yöntemler yer alıyor. Özellikle Discord platformundaki kimlik avı saldırıları son derece yaygındı; neredeyse her gün sunuculara saldırılar düzenleniyor ve bu durum kullanıcıların sıkça kayıplar yaşamasına neden oluyor.

Tipik Güvenlik Olayı Analizi

TreasureDAO olayı

3 Mart 2022'de, TreasureDAO ticaret platformu bir hacker saldırısına uğradı ve 100'den fazla NFT çalındı. Açık, TreasureMarketplaceBuyer sözleşmesindeki mantık sorunundan kaynaklanıyordu. Sözleşme, ERC-1155 ve ERC-721 token'larını işlerken ayırım yapmadı, bu da 0 token ödeyerek NFT satın alınmasına olanak tanıdı.

APE Coin airdrop olayı

17 Mart 2022'de, bir hacker, flash kredi kullanarak 60.000'den fazla APE Coin airdrop'u elde etti. AirdropGrapesToken airdrop sözleşmesi, kullanıcıların BAYC/MAYC NFT'lerine sahip olup olmadığını anlık durumu kontrol ederek belirliyordu ve saldırgan, flash krediyi manipüle etti.

Revest Finance olayı

27 Mart 2022'de Revest Finance saldırıya uğradı ve 120.000 dolar kaybetti. Açık, ERC-1155 yeniden giriş saldırısında ortaya çıktı; sözleşme yeni FNFT'ler basılırken durum değişkenlerini doğru bir şekilde işleyemedi ve bu da yeniden giriş açığına yol açtı.

NBA koyun yünü olayı

2022年4月21日，NBA项目遭黑客攻击。The_Association_Sales sözleşmesinin beyaz liste doğrulamasında imza sahtekarlığı ve yeniden kullanma sorunları vardı, kullanılan imzaların kaydı ve msg.sender doğrulaması yapılmadı.

Akutar olayı

23 Nisan 2022'de, Akutar projesinin AkuAuction sözleşmesindeki bir güvenlik açığı 11539ETH (yaklaşık 34 milyon dolar) kilitlenmesine neden oldu. Sözleşmede bir iade mantığı sorunu vardı ve kullanıcıların birden fazla teklif vermesi durumu dikkate alınmadığı için iade işlemi gerçekleştirilemiyordu.

XCarnival olayı

24 Haziran 2022'de, XCarnival saldırıya uğradı ve 3087 Ethereum (yaklaşık 3.8 milyon dolar) kaybetti. XNFT sözleşmesi, NFT'leri stake ederken xToken adresinin geçerliliğini kontrol etmedi ve borç verme sırasında teminat kayıt durumunu doğrulamadı.

NFT Sözleşmesi Sıkça Sorulan Sorular

1. İmza istismarı ve yeniden kullanımı:

   • Tekrarlayan yürütme doğrulaması eksik
   • İmza kontrolü sıkı değil

2. Mantık Açığı:

   • Madeni para toplamı kontrolsüz
   • Müzayede sürecindeki işlem sırası saldırıya bağımlıdır

3. ERC721/ERC1155 yeniden giriş saldırısı:

   • Transfer bildirim özelliği reentrancy'ye neden olabilir

4. Yetki kapsamı çok geniş:

   • Aşırı yetki talep etmek, NFT'nin çalınma riskini artırır.

5. Fiyat manipülasyonu:

   • NFT fiyatı, kolayca manipüle edilebilen faktörlere bağlıdır.

NFT sözleşmesi güvenlik olaylarının sıkça yaşandığı göz önüne alındığında, profesyonel güvenlik denetimi son derece önemlidir. Proje sahipleri sözleşme güvenliğine önem vermeli ve güvenlik risklerini azaltmak için profesyonel kuruluşlardan kapsamlı denetim talep etmelidir.