上半年NFT安全事件分析：哪些典型案列值得我们警惕？

成都链安Publié le 2022-09-09Dernière mise à jour le 2022-09-09

Résumé

2022年上半年，共监测到NFT领域主要安全事件10起，统计到的损失约为6490万美元。

Mint千万枚，安全第一位。

在我们发布的《2022年上半年Web 3安全态势深度研报》中，我们已经从各个维度展示和分析了区块链安全领域的总体态势。今天，我们将针对NFT合约安全展开分析，看看在NFT合约在审计过程中都会出现哪些常见问题呢？

1、上半年NFT领域安全事件的总损失有多少？

据成都链安鹰眼区块链安全态势感知平台监控显示，2022年上半年，共监测到NFT领域主要安全事件10起，统计到的损失约为6490万美元，主要攻击方式为合约漏洞利用、私钥泄露、钓鱼等。而上半年Discord钓鱼事件频发，几乎每天都有Discord服务器受到攻击，个人用户因点击钓鱼链接而遭受损失的情况频繁发生。

2、上半年NFT典型安全事件？

TreasureDAO事件

2022年3月3日，TreasureDAO交易平台遭到黑客攻击，造成100多个NFT 被盗。

扩展阅读：怪事？盗了又归还？TreasureDAO安全事件分析

漏洞原因：逻辑漏洞

该漏洞存在于TreasureMarketplaceBuyer合约中，该合约的buyItem函数在传入_quantity参数后，并没有做代币类型判断，直接将_quantity与_pricePerItem相乘计算出了totalPrice，因此safeTransferFrom函数可以在ERC-20代币支付数额只有0的情况下，调用TreasureMarketplace合约的buyItem函数来进行代币购买。

本次安全事件主要原因是ERC-1155代币和ERC-721代币混用导致的逻辑混乱，ERC-721代币并没有数量的概念，但是合约却使用了数量来计算代币购买价格，且最后在代币转账的实现中也未进行逻辑分离。

APE Coin空投事件

2022年3月17日，黑客通过闪电贷拿到了超过6万的APE Coin空投。

漏洞原因：逻辑漏洞

该漏洞存在于AirdropGrapesToken空投合约中，由于其使用 alpha.balanceOf()和beta.balanceOf()判定调用者对BAYC/MAYC NFT的所有权。而这种方式仅能获取到用户对该NFT所有权的瞬时状态，但该瞬时状态可以通过闪电贷借入进行操控。攻击者利用该漏洞，以闪电贷借出BAYC NFT并获取对应的空投。

Revest Finance事件

2022年3月27日，Revest Finance项目遭遇黑客攻击，损失余额12万美元。

扩展阅读：老调重弹，ERC1155的重入攻击又“现身”，Revest Finance被攻击事件简析

漏洞原因：ERC-1155重入

该漏洞存在于Revest合约中，当用户采用depositAdditionalToFNFT()追加FNFT的抵押资产时，合约需要将先把之前的FNFT销毁，之后再铸造新的FNFT。但是在铸造时，由于min()函数中未判断需铸造的FNFT是否已经存在，并且状态变量fnftId自增在_mint()函数后。而_min()中存在ERC-1155中的隐藏外部调用_doSafeTransferAcceptanceCheck()，造成了重入漏洞。

NBA薅羊毛事件

2022年4月21日，NBA项目方遭遇黑客攻击。

漏洞原因：签名冒用和复用

该漏洞存在于The_Association_Sales合约中，项目当在采用签名校验的方式验证白名单时，主要存在两个安全问题：签名冒用和签名复用。其中签名复用问题是由于项目方并未在合约中存储已经使用过的签名，造成签名可以被攻击者重复多次使用；签名冒用的问题是由于vData memory参数info在传参时未进行msg.sender校验导致签名可冒用。

Akutar事件

2022年4月23日，NFT项目方Akutar的AkuAuction合约由于智能合约本身漏洞，导致11539ETH（价值约3400万美元）被锁死在合约中。

扩展阅读：NFT项目惊现低级漏洞，合约未审计导致3400万美元资产被锁死 ——Akutar事件分析

漏洞原因：逻辑漏洞

该合约存在两个逻辑漏洞，第一是退款函数processRefunds使用call函数进行退款操作，并且把退款结果作为require判定条件，如果攻击者在fallback中进行恶意revert会导致整个合约的退款操作无法继续进行。第二个漏洞是造成此次事件的根本原因，即退款函数中存在的两个判断条件，由于没有考虑到一个用户可以投标多个NFT的情况，使得项目方后续的退款操作永远无法执行。

XCarnival事件

2022年6月24日，NFT 借贷协议 XCarnival 遭到攻击，黑客获利 3087 枚以太坊（约 380 万美元）。

扩展阅读：NFT 借贷平台需警惕，XCarnival被攻击事件给我们哪些启示？

漏洞原因：逻辑漏洞

该漏洞存在于XNFT合约中，该合约中的pledgeAndBorrow 函数在质押NFT时并未未检查攻击者传入的xToken地址是否为项目方白名单中的地址；并且在借贷时，并未对抵押记录的状态进行检测，导致攻击者反复使用无效的抵押记录进行借贷。

3、NFT合约在审计过程中都会出现哪些常见问题呢

上半年发生了多起NFT合约相关的安全事件，主要原因还是没有进行全面的安全审计，那么NFT合约在审计过程中都会出现哪些常见问题呢？

成都链安审计团队在审计NFT系列合约时，发现NFT合约主要的问题包括以下几类：

(1)签名冒用和复用：

签名数据缺少重复执行验证(例如：缺少用户nonce)，导致可以重复使用签名数据铸造NFT；

签名检查不合理(例如：未检查签名者为零地址的情况)，导致任意用户均可通过检查进行铸币；

(2) 逻辑漏洞：

合约管理员可以通过私募等特殊方式铸币而不受总量的限制，导致NFT的实际量超过预期；

拍卖NFT时，获胜者可在领取交易顺序依赖攻击，修改竞拍价格，导致竞拍获胜者可以低价获取NFT；

(3) ERC721&ERC1155重入攻击

当合约使用转账通知功能时(onERC721Received函数)，NFT合约会主动向转账的目标合约发送一次调用，那么这就可能导致重入攻击；

(4) 授权范围过大

用户在进行质押或者拍卖时，仅需要对单个代币授权，但合约要求_operatorApprovals授权，一旦用户授权成功，那么就存在NFT被盗的风险。

(5) 价格操控

NFT的价格依赖于某合约的代币持有量，导致攻击者利用闪电贷拉高代币价格，使得质押的NFT被异常清算。

从上半年发生的NFT合约安全事件来看，审计过程中经常出现的漏洞在实际中也会被黑客利用。因此寻求专业的安全公司对NFT合约进行审计也是非常有必要的。

Lectures associées

Le prochain héros de MiHoYo est une pianiste

L'article explore l'évolution de MiHoYo, la société derrière *Genshin Impact*, au-delà du jeu vidéo. Partie d'un modeste studio fondé par trois diplômés de l'université Jiao Tong de Shanghai, l'entreprise est désormais valorisée à des centaines de milliards et vise un objectif ambitieux : créer un monde virtuel habité par un milliard de personnes d'ici 2030. Pour y parvenir, MiHoYo investit dans des technologies de pointe comme l'interface cerveau-ordinateur, la fusion nucléaire et, surtout, l'intelligence artificielle. Le co-fondateur Cai Haoyu (alias "AI Soulcaster") dirige désormais un projet de R&D avancée en IA, Anuttacon, séparé de la structure principale pour plus d'agilité. Leur défi principal est de donner une "âme" aux personnages virtuels, de leur conférer une présence authentique et une intelligence émotionnelle, dépassant les simples scripts prédéfinis. Après des expérimentations comme le jeu *Whispers of the Stars*, MiHoYo concentre ses efforts sur le développement d'un grand modèle de langage (LLM) "à résonance émotionnelle". La première concrétisation publique de cette quête est *BSide: Olivia Lin*, une application (et non un jeu) présentée sur Steam. Elle met en scène une étudiante en piano à Shanghai avec qui l'utilisateur peut interagir de manière décalée (écouter de la musique, échanger des lettres), privilégiant une sensation de présence réaliste plutôt qu'une interactivité incessante. Le nom même de l'entreprise, "miHoYo", rend hommage à la chanteuse virtuelle Hatsune Miku, symbole de l'adoration que peut inspirer un personnage sans conscience. L'ambition ultime de MiHoYo est désormais de créer des entités virtuelles qui, cette fois, pourraient véritablement *savoir* qu'elles sont aimées.

marsbitIl y a 15 mins

Le prochain héros de MiHoYo est une pianiste

marsbitIl y a 15 mins

Analyse de rapport : Les revenus d'IA de TSMC doubleront d'ici 2027, la capacité de production CoWoS reste le principal goulot d'étranglement

L'analyse de Morgan Stanley (23 juin) prévoit une croissance explosive des revenus liés à l'IA pour TSMC, atteignant 86,3 milliards de dollars en 2027, soit plus du triple par rapport aux 27,1 milliards de dollars estimés en 2026. Cette croissance est tirée par les GPU (28 G$), les puces IA sur mesure (18 G$) et, de manière significative, par l'emballage avancé CoWoS (40 G$). Nvidia reste le principal moteur de demande pour CoWoS, mais AMD (CPU Venice et GPU MI400) et les TPU de Google (via MediaTek et Broadcom) émergent comme de nouveaux moteurs de croissance forts. Malgré les plans d'expansion de TSMC portant la capacité mondiale de CoWoS à environ 280 000 tranches/mois d'ici fin 2027, la demande mondiale devrait atteindre 269,4 millions de tranches/an, créant une tension persistante, particulièrement pour les technologies les plus avancées comme le CoWoS-L essentiel pour Nvidia. Cette pénurie maintient le pouvoir de fixation des prix de TSMC. Des catalyseurs comme l'amélioration de l'approvisionnement en substrats ABF, la montée en puissance des nouveaux CPU (Vera, Venice) et la production de la future plateforme Rubin de Nvidia devraient soutenir la demande. MediaTek (partenaire de Google), ASE et KYEC sont identifiés comme des gagnants clés de la chaîne d'approvisionnement. En résumé, la croissance de l'IA de TSMC semble assurée, mais la capacité de production, surtout en emballage avancé, reste le facteur limitant critique.

marsbitIl y a 32 mins

Analyse de rapport : Les revenus d'IA de TSMC doubleront d'ici 2027, la capacité de production CoWoS reste le principal goulot d'étranglement

marsbitIl y a 32 mins

Citrini Research : Les 5 grands thèmes d'investissement cachés par le trading de l'IA

Lorsque l’attention du marché est entièrement captée par l’IA et les semi-conducteurs, d’autres thèmes d’investissement porteurs sont négligés. Citrini Research identifie cinq opportunités moins médiatisées : 1. **Compagnies aériennes** : Delta et United, pénalisées depuis 18 mois par des facteurs macroéconomiques (tarifs, pétrole), présentent une solide croissance tirée par la montée en gamme et la demande de voyages (Coupe du Monde 2026). 2. **Immobilier pour seniors** : Portée par le vieillissement démographique (les +80 ans augmenteront de 56% en 10 ans), la demande dépasse largement l’offre. Des sociétés comme Welltower et Brookdale en bénéficient. 3. **Divertissement en direct** : Une classe d’actifs performante, car "être présent" devient un luxe. Les franchises sportives, salles de concert (TKO Group) et cinémas premium (IMAX, Cinemark) en profitent. 4. **Concurrence boursière** : Le quasi-monopole du CME sur les dérivés de taux est contesté par FMX, soutenu par de grandes banques, grâce à des frais plus bas et une infrastructure fiable. 5. **Fintechs en reprise** : Après une forte correction en 2026, des acteurs comme SoFi (avec son stablecoin), Robinhood (en transformation) et Upstart montrent des signes de rebond sur l’amélioration de leurs fondamentaux. L’idée centrale : dans un marché saturé par le trade IA, le plus grand alpha pourrait se trouver dans ces thèmes sous-modélisés où l’écart entre attentes basses et réalité s’améliore crée des opportunités.

marsbitIl y a 51 mins

Citrini Research : Les 5 grands thèmes d'investissement cachés par le trading de l'IA

marsbitIl y a 51 mins

Nouveaux sommets pour l'action ! Corning vise le marché de l'interconnexion optique CPO

L'action de Corning atteint un sommet, portée par la demande d'interconnexions optiques pour les data centers IA. Lors d'une récente conférence, la société a présenté GlassBridge, une plateforme de connecteurs en verre destinée à relier les fibres optiques aux circuits photoniques intégrés (PIC) dans des architectures de type NPO et CPO (Co-Packaged Optics). L'objectif du CPO est de rapprocher l'optique des puces pour réduire la consommation électrique et la latence dans les clusters d'IA. Le défi technique réside dans l'alignement précis entre la fibre (diamètre de quelques microns) et les guides d'ondes du PIC (largeur nanométrique). GlassBridge, utilisant des guides d'ondes en verre, vise à simplifier cet assemblage et annonce des pertes de couplage de 1.5dB. Corning positionne ce composant au sein d'une offre plus large, GlassWorks AI, et s'appuie sur des partenariats avec GlobalFoundries, Meta et NVIDIA. Cependant, le succès de cette approche à base de verre dépendra des validations par les clients, des rendements de production et de la concurrence face à d'autres solutions comme le silicium-photonique. Les informations sur le calendrier de production et les déploiements à grande échelle restent à confirmer.

marsbitIl y a 1 h

Nouveaux sommets pour l'action ! Corning vise le marché de l'interconnexion optique CPO

marsbitIl y a 1 h

Les « retail investors » de Reddit « sauvent » le géant américain de la restauration rapide WEN, l'action bondit de 42 % en une journée, le phénomène s'étend aux meme coins en chaîne

Le titre de l'article : Les investisseurs individuels de Reddit « sauvent » le géant américain de la restauration rapide WEN, le cours de l'action bondit de 42% en un jour avant de se propager à un Meme en ligne. Résumé en français : La chaîne de restauration rapide Wendy's (WEN) a vu son action bondir de 42% en intraday et clôturer en hausse d'environ 26% mercredi. Ce mouvement a été déclenché par un post populaire sur le forum Reddit WallStreetBets, intitulé « We need to save Wendy's », qui a incité un afflux massif d'investisseurs particuliers. Le volume d'échanges a dépassé 200 millions d'actions, soit plus de 20 fois la moyenne quotidienne. Un taux de vente à découvert élevé, estimé à environ 34%, a créé les conditions propices à un squeeze. Parallèlement, la ferveur s'est propagée à la cryptomonnaie. Un meme coin homonyme « WEN », sans lien avec l'entreprise, a été créé sur Solana. Son marché a explosé, atteignant une capitalisation de 439 000 $ en 24 heures, soit une hausse de plus de 1450%. L'engouement n'est pas uniquement spéculatif. Des éléments fondamentaux soutiennent la narration : la nomination d'un nouveau directeur financier ayant un passé de succès avec le PDG, ainsi que des rumeurs de privatisation portées par le principal actionnaire activiste, Nelson Peltz. Le mouvement a également entraîné d'autres valeurs du secteur, comme Jack in the Box. Ce phénomène rappelle l'épisode GameStop de 2021, où les communautés en ligne ciblent des actions fortement vendues à découvert et reconnaissables, avant que le récit ne migre vers l'espace crypto.

marsbitIl y a 1 h

Les « retail investors » de Reddit « sauvent » le géant américain de la restauration rapide WEN, l'action bondit de 42 % en une journée, le phénomène s'étend aux meme coins en chaîne

marsbitIl y a 1 h

Trading

Spot
Futures
活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow