上半年NFT安全事件分析：哪些典型案列值得我们警惕？

成都链安Publié le 2022-09-09Dernière mise à jour le 2022-09-09

Résumé

2022年上半年，共监测到NFT领域主要安全事件10起，统计到的损失约为6490万美元。

Mint千万枚，安全第一位。

在我们发布的《2022年上半年Web 3安全态势深度研报》中，我们已经从各个维度展示和分析了区块链安全领域的总体态势。今天，我们将针对NFT合约安全展开分析，看看在NFT合约在审计过程中都会出现哪些常见问题呢？

1、上半年NFT领域安全事件的总损失有多少？

据成都链安鹰眼区块链安全态势感知平台监控显示，2022年上半年，共监测到NFT领域主要安全事件10起，统计到的损失约为6490万美元，主要攻击方式为合约漏洞利用、私钥泄露、钓鱼等。而上半年Discord钓鱼事件频发，几乎每天都有Discord服务器受到攻击，个人用户因点击钓鱼链接而遭受损失的情况频繁发生。

2、上半年NFT典型安全事件？

TreasureDAO事件

2022年3月3日，TreasureDAO交易平台遭到黑客攻击，造成100多个NFT 被盗。

扩展阅读：怪事？盗了又归还？TreasureDAO安全事件分析

漏洞原因：逻辑漏洞

该漏洞存在于TreasureMarketplaceBuyer合约中，该合约的buyItem函数在传入_quantity参数后，并没有做代币类型判断，直接将_quantity与_pricePerItem相乘计算出了totalPrice，因此safeTransferFrom函数可以在ERC-20代币支付数额只有0的情况下，调用TreasureMarketplace合约的buyItem函数来进行代币购买。

本次安全事件主要原因是ERC-1155代币和ERC-721代币混用导致的逻辑混乱，ERC-721代币并没有数量的概念，但是合约却使用了数量来计算代币购买价格，且最后在代币转账的实现中也未进行逻辑分离。

APE Coin空投事件

2022年3月17日，黑客通过闪电贷拿到了超过6万的APE Coin空投。

漏洞原因：逻辑漏洞

该漏洞存在于AirdropGrapesToken空投合约中，由于其使用 alpha.balanceOf()和beta.balanceOf()判定调用者对BAYC/MAYC NFT的所有权。而这种方式仅能获取到用户对该NFT所有权的瞬时状态，但该瞬时状态可以通过闪电贷借入进行操控。攻击者利用该漏洞，以闪电贷借出BAYC NFT并获取对应的空投。

Revest Finance事件

2022年3月27日，Revest Finance项目遭遇黑客攻击，损失余额12万美元。

扩展阅读：老调重弹，ERC1155的重入攻击又“现身”，Revest Finance被攻击事件简析

漏洞原因：ERC-1155重入

该漏洞存在于Revest合约中，当用户采用depositAdditionalToFNFT()追加FNFT的抵押资产时，合约需要将先把之前的FNFT销毁，之后再铸造新的FNFT。但是在铸造时，由于min()函数中未判断需铸造的FNFT是否已经存在，并且状态变量fnftId自增在_mint()函数后。而_min()中存在ERC-1155中的隐藏外部调用_doSafeTransferAcceptanceCheck()，造成了重入漏洞。

NBA薅羊毛事件

2022年4月21日，NBA项目方遭遇黑客攻击。

漏洞原因：签名冒用和复用

该漏洞存在于The_Association_Sales合约中，项目当在采用签名校验的方式验证白名单时，主要存在两个安全问题：签名冒用和签名复用。其中签名复用问题是由于项目方并未在合约中存储已经使用过的签名，造成签名可以被攻击者重复多次使用；签名冒用的问题是由于vData memory参数info在传参时未进行msg.sender校验导致签名可冒用。

Akutar事件

2022年4月23日，NFT项目方Akutar的AkuAuction合约由于智能合约本身漏洞，导致11539ETH（价值约3400万美元）被锁死在合约中。

扩展阅读：NFT项目惊现低级漏洞，合约未审计导致3400万美元资产被锁死 ——Akutar事件分析

漏洞原因：逻辑漏洞

该合约存在两个逻辑漏洞，第一是退款函数processRefunds使用call函数进行退款操作，并且把退款结果作为require判定条件，如果攻击者在fallback中进行恶意revert会导致整个合约的退款操作无法继续进行。第二个漏洞是造成此次事件的根本原因，即退款函数中存在的两个判断条件，由于没有考虑到一个用户可以投标多个NFT的情况，使得项目方后续的退款操作永远无法执行。

XCarnival事件

2022年6月24日，NFT 借贷协议 XCarnival 遭到攻击，黑客获利 3087 枚以太坊（约 380 万美元）。

扩展阅读：NFT 借贷平台需警惕，XCarnival被攻击事件给我们哪些启示？

漏洞原因：逻辑漏洞

该漏洞存在于XNFT合约中，该合约中的pledgeAndBorrow 函数在质押NFT时并未未检查攻击者传入的xToken地址是否为项目方白名单中的地址；并且在借贷时，并未对抵押记录的状态进行检测，导致攻击者反复使用无效的抵押记录进行借贷。

3、NFT合约在审计过程中都会出现哪些常见问题呢

上半年发生了多起NFT合约相关的安全事件，主要原因还是没有进行全面的安全审计，那么NFT合约在审计过程中都会出现哪些常见问题呢？

成都链安审计团队在审计NFT系列合约时，发现NFT合约主要的问题包括以下几类：

(1)签名冒用和复用：

签名数据缺少重复执行验证(例如：缺少用户nonce)，导致可以重复使用签名数据铸造NFT；

签名检查不合理(例如：未检查签名者为零地址的情况)，导致任意用户均可通过检查进行铸币；

(2) 逻辑漏洞：

合约管理员可以通过私募等特殊方式铸币而不受总量的限制，导致NFT的实际量超过预期；

拍卖NFT时，获胜者可在领取交易顺序依赖攻击，修改竞拍价格，导致竞拍获胜者可以低价获取NFT；

(3) ERC721&ERC1155重入攻击

当合约使用转账通知功能时(onERC721Received函数)，NFT合约会主动向转账的目标合约发送一次调用，那么这就可能导致重入攻击；

(4) 授权范围过大

用户在进行质押或者拍卖时，仅需要对单个代币授权，但合约要求_operatorApprovals授权，一旦用户授权成功，那么就存在NFT被盗的风险。

(5) 价格操控

NFT的价格依赖于某合约的代币持有量，导致攻击者利用闪电贷拉高代币价格，使得质押的NFT被异常清算。

从上半年发生的NFT合约安全事件来看，审计过程中经常出现的漏洞在实际中也会被黑客利用。因此寻求专业的安全公司对NFT合约进行审计也是非常有必要的。

Lectures associées

Le prix du Bitcoin approche les 78 000 $ dans un élan haussier continu

Le prix du Bitcoin se situe actuellement entre 74 000 et 78 000 dollars, après avoir chuté à 68 000 dollars plus tôt ce mois-ci avant de remonter grâce à l'arrivée de nouveaux acheteurs. De nombreux traders estiment que le Bitcoin reste un bon investissement même à ces niveaux. En fin d'année 2025, la cryptomonnaie avait atteint un sommet historique d'environ 126 000 dollars avant une correction sévère. Le marché montre désormais des signes de stabilisation, avec une dynamique positive portée par des données du CMC indiquant un cours à 77 985 dollars. Cette hausse est attribuée à l'accumulation par les grands portefeuilles (whales) et à l'optimisme géopolitique lié aux négociations de paix entre les États-Unis et l'Iran. Ether (ETH) n'a progressé que de 1,24 %, reflétant la prudence des investisseurs après le piratage de 290 millions de dollars sur KelpDAO. L'évolution des prix reste sensible à la situation géopolitique, notamment aux discussions visant à apaiser les tensions régionales. La fourchette de trading du Bitcoin reste serrée, signe d'un équilibre entre acheteurs et vendeurs. Un regain d'appétit pour le risque est également observé sur les marchés actions américains.

TheNewsCryptoIl y a 5 mins

Le prix du Bitcoin approche les 78 000 $ dans un élan haussier continu

TheNewsCryptoIl y a 5 mins

Carnage imminente pour les altcoins ? 99 % pourraient être anéantis, selon un analyste

L'analyste Michael van de Poppe prédit une correction brutale sur le marché des altcoins, estimant que 99% de ces cryptomonnaies pourraient disparaître, un scénario qu'il compare à l'éclatement de la bulle internet. Malgré cela, il se dit extrêmement optimiste pour l'avenir global de la crypto, soulignant que cette purge marquera l'émergence de projets durables comme Bitcoin, Ethereum et certaines plateformes DeFi comme Aave. Il identifie Arbitrum comme une opportunité d'achat si le token atteint 0,16$. Toutefois, d'autres analystes comme Our Crypto Talk tempèrent cet optimisme, relevant que le Bitcoin évolue encore sous ses moyennes mobiles clés et que sa dominance à 57% signale un retrait des capitaux des altcoins. Van de Poppe reconnaît que le marché est en phase de consolidation depuis environ 2,5 mois après la vente massive de fin 2025, une période habituellement suivie d'un rebout dans les 2 à 4 mois.

bitcoinistIl y a 32 mins

Carnage imminente pour les altcoins ? 99 % pourraient être anéantis, selon un analyste

bitcoinistIl y a 32 mins

Le prophète légendaire des OGM prévient à nouveau : L'IA ne sauvera pas le marché boursier américain, la situation actuelle est aussi dangereuse qu'en 2000

Dans un récent podcast, Jeremy Grantham, cofondateur de GMO et légendaire investisseur connu pour avoir identifié les bulles financières, exprime son scepticisme envers le marché boursier américain actuel. Il compare la situation à celle de 2000, estimant que l'enthousiasme autour de l'IA rappelle celui autour d'Internet à l'époque, et qu'il ne justifie pas les valorisations élevées. Grantham souligne que les marchés non américains (émergents, Europe, Australie, Canada) présentent des valorisations bien plus raisonnables. Il critique la tendance du marché à l'optimisme excessif, notant que des prix élevés annoncent souvent des périodes difficiles, comme après les bulles de 1929 ou 1989 au Japon. Il met en garde contre les risques géopolitiques, les changements climatiques et le déclin démographique, qui pèsent sur la croissance mondiale. Selon lui, sans la frénésie de l'IA, le marché aurait probablement connu un repli significatif. Sa philosophie d'investissement reste ancrée dans la valeur : éviter les actifs surévalués et privilégier ceux qui sont bon marché, même si cela implique de supporter des périodes de sous-performance temporaire.

marsbitIl y a 54 mins

Le prophète légendaire des OGM prévient à nouveau : L'IA ne sauvera pas le marché boursier américain, la situation actuelle est aussi dangereuse qu'en 2000

marsbitIl y a 54 mins

Où se trouve le goulot d'étranglement dans la chaîne industrielle de l'IA Infra ?

L'industrie de l'infrastructure IA (AI Infra) fait face à des goulots d'étranglement systémiques à presque tous les niveaux, entravant le déploiement massif de la puissance de calcul nécessaire aux applications d'intelligence artificielle. Quatre principaux obstacles sont identifiés : Le « mur de la mémoire » : La demande croissante en mémoire à large bande (HBM) et DRAM pour l'inférence IA dépasse l'offre, les nouvelles capacités de production n'étant attendues qu'à partir de 2027. Le « mur de la bande passante » : La vitesse de calcul dépasse celle du transfert des données, créant des goulots à tous les niveaux (puces, serveurs, centres de données). L'énergie nécessaire pour déplacer les données dépasse parfois celle utilisée pour les calculs. Le « mur de calcul » : La fabrication de puces haut de gamme est limitée par la disponibilité des équipements de production avancés, notamment les machines de lithographie EUV (ASML), et par la chaîne d'approvisionnement mondiale complexe en matériaux et équipements spécialisés. Le « mur électrique » : Bien que la consommation énergétique des data centers IA soit énorme, ce défi est considéré comme plus gérable à moyen et long terme grâce aux énergies renouvelables. Au-delà de ces murs, l'expansion de la production est freinée par des pénuries en amont : * **Équipements de test (ATE)** : Essentiels pour tester à 100% les puces IA complexes, leur demande explose. * **Substrats IC/porteurs** : Un point de rupture critique. Ces composants, plus chers que les puces dans certains cas, sont indispensables pour le packaging avancé (2.5D/3D). Leur production, concentrée chez quelques fabricants taïwanais, est un goulot d'étranglement majeur pour des sociétés comme NVIDIA. * **Matériaux spéciaux** : Des « épices industrielles » comme les fibres de verre à faible CTE, les feuilles de cuivre spéciales et les forets de précision sont en pénurie. Leur haute technicité et leur production limitée menacent toute la chaîne. * **Salles blanches haute technologie** : La construction de ces environnements de production ultra-propres pour les puces et packaging avancés est un secteur à forte barrière technique et financière, en forte demande. Enfin, la connectivité dans les data centers évolue avec une compétition entre le cuivre et la fibre optique selon la distance : le cuivre regagne du terrain pour les courtes distances (<7m) grâce à son coût et sa fiabilité, des solutions hybrides (Micro LED) émergent pour les distances moyennes, et la fibre optique (dont la fibre creuse innovante) reste cruciale pour les longues distances. Les technologies de PCB et de substrats doivent également évoluer (plus de couches, substrats en verre) pour supporter la bande passante requise. En résumé, le développement de l'infrastructure IA est contraint par des limitations multidimensionnelles, de la fabrication fondamentale des puces aux matériaux et équipements spécialisés en amont. La recomposition des chaînes d'approvisionnement et l'évolution des technologies de connexion (cuivre/optique) façonneront l'avenir du secteur.

marsbitIl y a 57 mins

Où se trouve le goulot d'étranglement dans la chaîne industrielle de l'IA Infra ?

marsbitIl y a 57 mins

Autonomie ou compatibilité : Le choix de l'écosystème d'IA chinois derrière le report de DeepSeek V4

L'annonce du report de DeepSeek V4, un modèle d'IA open-source multi-modal de taille trillion de paramètres, a relancé le débat mondial sur la « dé-CUDA-isation ». Le modèle, initialement prévu pour début 2026, est en cours d'adaptation pour fonctionner sur les puces Ascend de Huawei via le framework CANN. Ceci représente un test crucial pour la faisabilité d'une infrastructure IA chinoise indépendante de l'écosystème CUDA de Nvidia. La complexité technique est immense. La migration vers Ascend, dont l'architecture matérielle et logicielle (CANN) est moins mature que CUDA, nécessite une réécriture profonde du code et une optimisation des opérateurs. Cela révèle que la compétition en IA est passée de la simple course aux paramètres à une bataille systémique sur l'infrastructure et l'ingénierie. Le report du V4 est le prix à payer pour cette indépendance. La domination quasi monopolistique de Nvidia, via son écosystème CUDA verrouillé, rend toute migration extrêmement difficile. La stratégie de Huawei avec CANN a été d'opter pour une compatibilité de haut niveau avec CUDA pour faciliter l'adoption, mais cette approche présente des limites. Elle risque de perpétuer une dépendance aux standards définis par Nvidia et pourrait freiner l'innovation fondamentale chinoise à long terme. Le défi est de taille : la compatibilité est nécessaire à court terme pour survivre, mais une véritable autonomie est cruciale pour définir les futures règles du jeu. Les 3 à 5 prochaines années seront décisives pour déterminer si l'écosystème IA chinois peut passer d'un statut de suiveur à celui de leader capable de définir ses propres paradigmes techniques, tout en maintenant une ouverture pour rester compétitif à l'échelle mondiale.

marsbitIl y a 1 h

Autonomie ou compatibilité : Le choix de l'écosystème d'IA chinois derrière le report de DeepSeek V4

marsbitIl y a 1 h

Trading

Spot
Futures
活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow