Sécurité des contrats NFT : Revue des événements du premier semestre 2022 et points clés d'audit

Au cours du premier semestre 2022, le domaine des NFT a été marqué par de fréquents incidents de sécurité, entraînant d'énormes pertes économiques. Selon les statistiques, 10 incidents majeurs de sécurité liés aux NFT se sont produits durant cette période, avec des pertes totales d'environ 6490 millions de dollars. Ces incidents concernaient principalement l'exploitation de vulnérabilités de contrat, la fuite de clés privées et des attaques de phishing. Il convient de noter que les attaques de phishing sur la plateforme Discord étaient particulièrement répandues, avec presque tous les jours des utilisateurs subissant des pertes en cliquant sur des liens malveillants.

Analyse des événements de sécurité typiques

1. Événement TreasureDAO (3 mars 2022)

   • Perte : Plus de 100 NFT volés
   • Raison : Vulnérabilité logique du contrat, utilisation mixte des tokens ERC-1155 et ERC-721 entraînant une erreur de valorisation

2. Événement de distribution gratuite d'APE Coin (17 mars 2022)

   • Perte : des hackers ont obtenu plus de 60 000 APE Coin en airdrop
   • Raison : une vulnérabilité de logique de contrat, propriété NFT non vérifiée correctement

3. Événement Revest Finance (27 mars 2022)

   • Perte : environ 120 000 dollars
   • Raison : vulnérabilité de réentrance ERC-1155

4. Événement de profit sur le projet NBA (21 avril 2022)

   • Raison : Problème de contrefaçon et de réutilisation de signature

5. Événement Akutar (23 avril 2022)

   • Perte : 11539ETH (environ 34 millions de dollars) bloqués dans le contrat
   • Raison : vulnérabilité logique du contrat, conception inadéquate de la fonction de remboursement

6. Événement XCarnival (24 juin 2022)

   • Perte : 3087 éthers (environ 3,8 millions de dollars)
   • Raison : Vulnérabilité logique du contrat, défauts dans les processus de mise en gage et de prêt.

Questions Fréquemment Posées sur l'Audit des Contrats NFT

1. Usurpation et réutilisation de signatures

   • Manque de validation d'exécution répétée
   • Vérification de la signature irrationnelle

2. Vulnérabilité logique

   • Contrôle inapproprié de l'offre totale de jetons
   • La séquence des transactions pendant le processus d'enchères dépend des attaques

3. Attaque par réentrance ERC721/ERC1155

   • La fonction de notification de transfert peut entraîner une réentrante

4. Portée d'autorisation trop large

   • Des autorisations globales inutiles augmentent les risques de sécurité

5. Manipulation des prix

   • Le prix des NFT pourrait être influencé par des facteurs externes.

Ces événements de sécurité et problèmes d'audit mettent en évidence de nombreux risques dans la conception et la mise en œuvre des contrats des projets NFT. Pour prévenir la récurrence de tels événements, les équipes de projet doivent accorder une importance à la sécurité des contrats intelligents et rechercher des services d'audit de professionnels de la sécurité. Ce n'est qu'à travers un examen de sécurité complet et rigoureux que l'on peut maximiser la sécurité opérationnelle des projets NFT et protéger les droits des utilisateurs.