أمان عقود NFT: مراجعة أحداث النصف الأول وتحليل الأسئلة الشائعة

في النصف الأول من عام 2022، كانت حالة الأمان في مجال NFT غير مطمئنة. وفقًا لمراقبة منصة البيانات، حدثت 10 حوادث أمان كبيرة، مما أسفر عن خسائر تقدر بحوالي 6490 ألف دولار أمريكي. تشمل أساليب الهجوم الرئيسية استغلال ثغرات العقود، تسرب المفاتيح الخاصة، والتصيد الاحتيالي. من الجدير بالذكر أن خوادم Discord تعرضت لهجمات متكررة، وغالبًا ما يتعرض المستخدمون للخسائر بسبب النقر على روابط التصيد.

مراجعة الحوادث الأمنية النموذجية

حدث TreasureDAO

في 3 مارس، تعرضت منصة TreasureDAO للتداول للاختراق، وتمت سرقة أكثر من 100 NFT. كانت الثغرة ناتجة عن خطأ منطقي في دالة buyItem لعقد TreasureMarketplaceBuyer، حيث لم يتم التحقق من نوع الرموز، مما سمح بشراء NFT مقابل دفع 0 من الرموز. وهذا يعكس مشكلة الارتباك المنطقي الناجمة عن الاستخدام المختلط لرموز ERC-1155 و ERC-721.

حدث توزيع عملة APE

في 17 مارس، استغل القراصنة قرضًا سريعًا للحصول على أكثر من 60,000 من عملة APE Coin الموزعة. كانت الثغرة موجودة في عقد توزيع AirdropGrapesToken، حيث كان العقد يعتمد فقط على الحالة الفورية لتحديد ملكية NFT، والتي يمكن التلاعب بها من خلال القرض السريع.

فعالية Revest Finance

في 27 مارس، تعرضت Revest Finance للهجوم، مما أسفر عن خسارة قدرها 120,000 دولار. كانت الثغرة تتعلق بهجوم إعادة الدخول على ERC-1155، ناتجة عن توقيت غير مناسب لتحديث متغير الحالة في دالة depositAdditionalToFNFT().

حدث NBA لاقتناص الفرص

في 21 أبريل، تعرض مشروع NBA لهجوم من قراصنة. كانت المشكلة في آلية التحقق من توقيع عقد The_Association_Sales، حيث كانت هناك مخاطر من التوقيع المقلد وإعادة الاستخدام.

حدث أكوتار

في 23 أبريل، أدى وجود ثغرة منطقية في عقد AkuAuction لمشروع Akutar إلى قفل 11,500 ETH (حوالي 34 مليون دولار). كانت المشكلة الرئيسية في عيب تصميم دالة الاسترداد، حيث لم تأخذ في الاعتبار حالات تقديم العطاءات المتكررة من قبل المستخدمين.

حدث XCarnival

في 24 يونيو، تعرضت XCarnival لهجوم، وحقق القراصنة أرباحًا قدرها 3087 إيثريوم. كانت الثغرة موجودة في عقد XNFT، وكانت هناك عيوب في منطق الإيداع والإقراض، مما سمح للمهاجمين بإعادة استخدام سجلات الرهن غير الصالحة.

أسئلة شائعة حول عقود NFT

1. انتحال التوقيع وإعادة استخدامه:

   • عدم وجود تحقق من التنفيذ المتكرر
   • فحص التوقيع ليس صارمًا

2. ثغرة منطقية:

   • التحكم في إجمالي كمية العملات غير مناسب
   • تعتمد تسلسل المعاملات خلال عملية المزاد على الهجمات

3. هجمات إعادة الدخول ERC721/ERC1155:

   • قد تتسبب ميزة إشعار التحويل في إعادة الدخول

4. نطاق التفويض واسع جداً:

   • التفويض المفرط قد يؤدي إلى سرقة NFT

5. التحكم في الأسعار:

   • سعر NFT يعتمد على عوامل خارجية، وسهل التعرض لهجمات مثل القروض الفورية

بالنظر إلى المشكلات المذكورة أعلاه، يجب على مقدمي مشاريع NFT إيلاء أهمية لتدقيق أمان العقود، للحد من المخاطر المحتملة وضمان سلامة أصول المستخدمين.