NBA數字收藏品合約現重大漏洞 白名單籤名驗證存缺陷

robot
摘要生成中

NBA 近期推出了數字收藏品,但令人擔憂的是,其銷售合約中存在重大漏洞。安全研究人員發現,惡意用戶可以利用這一漏洞,無需支付任何費用就能鑄造收藏品,並通過出售獲取不當利益。

這一安全隱患的根源在於合約對白名單用戶籤名的驗證機制存在缺陷。具體而言,合約未能確保白名單籤名僅限特定用戶使用,且每個籤名只能使用一次。這導致攻擊者可以重復使用其他白名單用戶的籤名來鑄造收藏品。

從合約代碼分析可見,verify函數在驗證籤名時未將交易發起者的地址納入籤名內容。此外,合約也沒有實現防止籤名重復使用的機制。這些安全措施本應是軟件開發中的基礎知識,卻在如此知名的項目中被忽視,令人難以置信。

這一事件凸顯了在區塊鏈項目開發過程中,即使是大型組織也可能忽視基本的安全實踐。它提醒我們,在設計智能合約時,必須格外注意安全細節,尤其是在處理用戶權限和交易驗證時。同時,這也強調了在項目上線前進行全面、專業的安全審計的重要性,以避免類似的漏洞給用戶和項目帶來潛在損失。

對於區塊鏈行業的參與者來說,這個案例是一個警示:無論項目規模如何,都不能忽視基本的安全原則。開發團隊應該持續學習和更新安全知識,並在項目各個階段都嚴格執行安全檢查。同時,用戶在參與任何區塊鏈項目時也應保持警惕,了解潛在風險,並選擇經過嚴格安全審計的平台進行交互。

查看原文
此頁面可能包含第三方內容,僅供參考(非陳述或保證),不應被視為 Gate 認可其觀點表述,也不得被視為財務或專業建議。詳見聲明
  • 讚賞
  • 8
  • 轉發
  • 分享
留言
0/400
链上算命先生vip
· 07-27 01:03
白名单不验签 这智商堪忧啊
回復0
RugPull预警机vip
· 07-26 15:17
这笔钱最后流向龙卷风混币器 必有大事
回復0
巨鲸资深观察员vip
· 07-24 17:47
这智商交了智商税啊
回復0
代码审计姐vip
· 07-24 06:13
老生常谈的签名重放又来了 审核的时候都在睡觉吗
回復0
资深毛衣爱好者vip
· 07-24 06:06
签名机制都不会写?菜鸡实锤了
回復0
空投碰瓷哥vip
· 07-24 05:56
他还想赚我钱?套路被我看穿了
回復0
链上小透明vip
· 07-24 05:51
合约都不先审计吗 太离谱了吧
回復0
散户心理医生vip
· 07-24 05:49
这么大项目也被薅 他奶奶的
回復0
交易,隨時隨地
qrCode
掃碼下載 Gate APP
社群列表
繁體中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)