NFT Sözleşme Güvenliği: 2022 Yılı İlk Yarı Olaylarının Gözden Geçirilmesi ve Denetim Noktaları

2022 yılının ilk yarısında, NFT alanında güvenlik olayları sıkça meydana geldi ve büyük kayıplara yol açtı. Bir blockchain güvenlik platformunun izlemelerine göre, ilk yarıda toplam 10 adet önemli NFT güvenlik olayı gerçekleşti ve toplam kayıp yaklaşık 6490 milyon dolar oldu. Saldırı yöntemleri arasında sözleşme açıklarından yararlanma, özel anahtar sızıntısı ve oltalama gibi durumlar yer alıyor. Özellikle Discord platformunda oltalama saldırıları oldukça yaygınlaştı, neredeyse her gün sunucular saldırıya uğruyor ve kullanıcı varlıkları kaybediliyor.

Tipik Güvenlik Olayları İncelemesi

TreasureDAO olayı

3 Mart'ta, TreasureDAO ticaret platformu bir siber saldırıya uğradı ve 100'den fazla NFT çalındı. Açık, TreasureMarketplaceBuyer sözleşmesindeki buyItem fonksiyonunun mantık hatasından kaynaklanıyordu; token türü kontrol edilmeden fiyat hesaplandı ve bu da 0 token fiyatıyla NFT satın alınmasına olanak tanıdı. Bu, ERC-1155 ve ERC-721 tokenlerinin karıştırılmasından kaynaklanan mantıksal karmaşa sorununu ortaya koyuyor.

APE Coin airdrop olayı

17 Mart'ta, bir hacker, lightning loan kullanarak 60.000'den fazla APE Coin airdrop'u elde etti. Açık, AirdropGrapesToken airdrop sözleşmesinde bulunuyordu; bu sözleşme, NFT mülkiyetini sadece balanceOf() ile belirliyordu ve bu yöntem lightning loan ile manipüle edilebiliyordu.

Revest Finance olayı

27 Mart'ta, Revest Finance saldırıya uğrayarak 120,000 dolar kaybetti. Sebebi, Revest sözleşmesinde bulunan ERC-1155 yeniden giriş açığıydı ve FNFT basım mantığını doğru bir şekilde işleyemedi.

NBA koyun yünü olayı

21 Nisan'da, NBA projesi bir siber saldırıya uğradı. The_Association_Sales sözleşmesinde beyaz liste doğrulama sırasında imza sahteciliği ve yeniden kullanma sorunları vardı, kullanılan imzaların depolanması ve doğrulanması yapılmamıştı.

Akutar olayı

23 Nisan'da, Akutar projesinin AkuAuction akıllı sözleşmesindeki bir güvenlik açığı, 11,5 bin ETH ( yaklaşık 34 milyon dolar )'ı kilitledi. Temelde iki mantıksal güvenlik açığı var: iade fonksiyonu kötü niyetli olarak kesilebiliyor ve kullanıcıların birden fazla teklif verme durumu göz önünde bulundurulmamış.

XCarnival olayı

24 Haziran'da, XCarnival kredi protokolü saldırıya uğradı ve yaklaşık 3.8 milyon dolar kaybetti. XNFT sözleşmesindeki pledgeAndBorrow fonksiyonu, xToken adresi ve teminat kayıt durumu üzerinde etkili bir kontrol yapmadı.

NFT Sözleşme Denetimi Sıkça Sorulan Sorular

1. İmza yetkisiz kullanımı ve yeniden kullanımı:

   • Kullanıcı nonce'u gibi tekrar yürütme doğrulaması eksik
   • İmza kontrolü sıkı değil, sıfır adresi kontrol edilmemişse

2. Mantık Açığı:

   • Madeni para toplam miktarının sınırlı olmaması
   • Müzayede sürecinde işlem sırası bağımlılığı vardır

3. ERC721/ERC1155 yeniden giriş saldırısı:

   • Transfer bildirim işlevi reentrancy'ye neden olabilir

4. Yetki alanı çok geniş:

   • Aşırı yetki talep edilmesi, varlıkların çalınma riskini artırır.

5. Fiyat manipülasyonu:

   • NFT fiyatı manipüle edilebilen dış verilere bağlıdır

NFT sözleşmesi güvenlik olaylarının sıklıkla meydana geldiği ve büyük kayıplara neden olduğu göz önüne alındığında, proje sahipleri sözleşme güvenlik denetimlerine önem vermeli ve güvenlik risklerini azaltmak için profesyonel güvenlik şirketlerinden kapsamlı testler talep etmelidir.