APP推广合作
联系“鸟哥笔记小乔”
黑客虎视眈眈,资产频繁被盗,警惕NFT安全风险
2022-01-11 20:27:26



6美元的合同,栓不牢上百万的NFT!


“警报!警报!警报!”,一只手机躺在床头柜上,吱哇乱叫。

Michael J(以下简称MJ)熟睡中被惊醒,拿起手机一看,来自加密艺术平台Nifty Gateway出售商品警报、各个信用卡商的欺诈警报,充斥着他的手机界面。

“坏了!”MJ瞬间清醒,一下子坐起身来,火速打开Nifty Gateway准备转移资产,可惜为时已晚,他所有的NFT收藏品全被清空,黑客甚至还用MJ的数字钱包购买了价值1万美元的新NFT,一并转走了。

几分钟时间,MJ价值数十万美元的NFT藏品化为乌有,再也找不回来了。

Nifty Gateway是一家注册在美国的加密艺术品交易平台。

有人说,这种情况不能找Nifty Gateway维权吗?NFT数字作品不是锚定产权人,不可更改吗?难道没有办法吗?MJ也这么想,找到Nifty Gateway。

“由于记录了包括转账在内的所有交易,因此我知道我被盗的NFT发送到的2个具体帐户以及购买人信息。”MJ将此提供给Nifty Gateway,此时黑客在Discord频道上寻找买家。

对此,Nifty Gateway发表声明说,正在对MJ事件进行分析。“初步评估表明此事件影响有限,未受影响的帐户都启用了2FA(Two-factor-authentication双元验证法),并且可以通过有效的帐户凭据获得访问权限。”

在境外NFT炒作浪潮里,除了价格泡沫外,参与者还会面临资产安全风险。

事实证明,随着NFT大热,资本快速涌入,网络罪犯也在将他们的注意力转向NFT领域。近几个月来,NFT市场蓬勃发展,数字艺术品资产被盗事件也发生的越来越频繁。

强大的元宇宙难道无法保护一张数字图片吗?为此,《链新》采访了多位一线技术人员,试图分析出NFT数字资产被盗一事背后的底层技术逻辑、隐藏问题、行业看法以及可防范措施。


1

链新

NFT被盗事件频发


2021年4月,黑客珀森从佳士得的网站上下载并伪造了Beeple的《每一天:第一个5000天》文件,然后通过Beeple钱包铸造了另一个铸币,在一个NFT平台上挂牌出售。

做完这一切,珀森在自己的网站NFTheft上,发表了一篇题为《我为什么这么做》的文章,直言:“才华横溢、经验丰富的创作者无法为他们的作品提供任何必要的保障。”,“没有任何权利或保护措施来防止他们的艺术品被盗或被误用。”

这是黑客珀森的一场行为艺术,但他说的话却比他的行为更吸引人。

业内人士告诉《链新》,一个典型的NFT常分成两个独立的部分,存储在链上的智能合约或ERC-721标准规范,以及数字艺术品本身。目前,访问艺术品的主要模式是使用URL(网络地址),而非数字作品直接上链。

从事数字艺术品的经营的凯拉尼·尼科尔(Kelani Nichole)曾公开表示对ERC-721的质疑,称这种模式是危险的,其直言 “如果哪天NFT平台的服务器宕机了,或者他们的IPFS(分布式文件存储系统,一种常见的防护措施)节点宕机了,你花很多钱买的内容将无法访问”。

事实上,即便是用户采用了IPFS进行维护,还有不少因素同样会导致URL被破坏,以至于类似Checkmynft.com(用户可以插入合同地址和令牌ID检查URL状态检验)等平台应运而生。

而就在今年3月,Checkmynft发现,已经使用过IPFS存储的Grimes、DeadMau5和Steve Aoki等用户的NFT出现无法加载的情况,最终文件外流。虽然文件外流没有对市场造成太大影响,却也加重了人们对NFT的储存方式的担忧。

既然如此,为什么不直接选择,简单直接的数字艺术品直接上链呢?

艾贝链动 CEO 叶新告诉《链新》记者:“NFT选择基于智能合约URL指向的形式存在,还是作为独立的作品直接上链,本质上是成本问题。”

艾贝链动是一家区块链领域安全产品与技术服务公司,业务集中在数字身份、数字资产凭证、资产追踪服务等方面。

简单计算两种储存方式的成本,目前来说,以太坊的存储成本是256bit=32字节=20 K gas,假设当前gasPrice是100 gwei,ETH价格为3000美元,那20K gas成本就为6美元。

普遍URL都在64字节以内,所以一个URL在以太坊网络正常情况下的存储成本大约是12美元左右,通常NFT合约只存了一份URL前缀并使用不同的id拼接出完整的URL。

但如果是独立上链的话,以Cryptopunk为例,一张图大概需要3000字节,也就是2000 K gas,约600美元,其成本将会是普通URL上链成本的50倍,1万张图就是600万美元。

倘若再遇到以太坊网络拥堵,独立上链的gasPrice成本将超出想象。

所以说,从成本上考虑,URL是目前虽然有漏洞却是最具性价比的选择。

那么,黑客们究竟是如何一步步从潜在的技术漏洞,到真正窃取他人的NFT资产的呢?


2

链新

穿过你的账号的黑手


据链圈专业人士介绍,尽管区块链账户号称是不可变的,但智能合约比许多人想象的更容易被窃取和伪造。而且,由于NFT交易可能会带来丰厚的利润,黑客就有了进一步攻击的动机。

叶新告诉《链新》,近年来NFT 市场频发资产被盗事件主要原因是NFT资产的价值及流通性大幅提升。事实上,个人钱包被盗事件一直很多,只是过去谈的是加密货币,现在谈的是NFT,黑客们自然会在掌握受害者私钥后将 NFT 转走套现。

这却是一件吊诡的事:NFT是一种防篡改的电子账本,对原始数字艺术进行认证和定义,还可以向艺术家提供永久的交易分成;人们基于相信制作NFT的区块链技术会带来切实好处而引发2021年上半年的“NFT抢购潮”和逐渐走高的价格;而这个价值24亿美元的新兴行业所使用的技术基础却很差,无法实现它所给出的承诺,短时间内还无法找到根治之策。

既然如此,或许尝试了解黑客们盗走NFT的方式,能在某种程度上减少一些受害者。

据《链新》了解,用户NFT数字资产被盗就是因为所属钱包私钥遭到了泄露或用户在不知情的情况下授权了非法转账交易行为。而要做到这一点,离不开用户的“配合”,简单来说,即用户在不知情的情况下进行了授权,可能有以下三种情况:

1.用户没能保管好私钥,比如将私钥信息储存在邮箱等云存储上,或是误发到通信软件或是误贴到钓鱼网站等,也就是所谓的“私钥触网”。例如在缺乏 2FA (双因素验证)的情况下,黑客可以暴破邮箱弱口令将私钥截获;

2、用户错误授权,黑客可利用搭建虚假网站、虚**包或者构建虚假项目骗取用户授权,进而利用智能合约中 approve/transferFrom 的特性在用户没有感知的情况下盗取资产。在 NFT 的场景,由于资产可能带有图片或视频,还存在一个有别于币的攻击面,黑客可能通过交易网站的漏洞由恶意图片触发看似合法的授权弹窗,诱骗用户点击;

3、私钥存储设备被入侵,这是更进阶的一种盗取私钥的方式。任何联网的设备都可能通过钓鱼邮件,word 文件等方式被黑客安装木马,假设用户以明文方式存储私钥或者加密口令过于简单,黑客都可能远程盗取私钥,因此储存私钥的设备需要即时更新安全补丁及安装防毒软件定期扫描,用冷钱包操作私钥是更安全的做法。

要杜绝此类事件发生,除了要知道黑客们惯用手段、提高日常警惕之外,不同平台之间权责明晰也非常必要,可NFT正处于萌发阶段,现有制度和人们的共识还未完善,需要时间搭建完整体系。

不过在叶新看来,对于个别用户因私钥被盗或被钓鱼造成的 NFT 盗窃事件,目前来看责任主要在于用户自己。这是加密市场去中心化市场的主要特性。

而钱包方、交易平台、拍卖平台有义务在产品使用过程中层层设防,在自身安全保障过硬的基础上,还应做好用户安全意识教育,钓鱼诈骗陷阱普及等认知教育工作。

3

链新

亡羊补牢,万物向新


体系不够健全,行业自当努力,NFT的存储方式有问题需要解决,不少区块链创业公司都希望能在这里裨补阙漏、贡献力量。

比如,区块链服务和安全公司RubiX的CEO和创始人尼廷·帕拉瓦利(Nithin Palavalli),它们认为目前的存储选择还不够,于是发明了一种新的机制——通过该模型在区块链上验证交易,允许用户在链上存储大量数据,帮助资产防护黑客攻击。

而对于那些看重NFT中文件的用户来说,文件的丢失可能会令人崩溃。

对此,RubiX与艺术家合作,使用生物识别技术访问创建了一种安全性更高的文件,还与微软智能安全协会(Microsoft Intelligent security Association)合作,开发了几个分散的安全协议,作为区块链安全产品的一部分,这些解决方案或许会令NFT市场更好地运转。

另外,知识产权律师杰夫·格鲁克(Jeff Gluck)一直关心着与艺术家们权利息息相关的智能合约。他表示,由于没有铸造的集中标准,艺术家最终会被骗去转售分成,于是他创立了提供智能合约的CXIP实验室,可以对任何平台协议进行转译。

储存选择、文件流失、智能合约,似乎一切正如叶新所言,漏洞是暂时的,需要在行业进步过程中一点点规避的。就像早期的 DeFi 协议也存在大量攻击事件,但随着项目开发者普遍安全意识提升,攻击事件就逐步降低,NFT市场也会经历这么一个过程。


链新
分享到朋友圈
收藏
收藏
评分

综合评分:

我的评分
Xinstall 15天会员特权
Xinstall是专业的数据分析服务商,帮企业追踪渠道安装来源、裂变拉新统计、广告流量指导等,广泛应用于广告效果统计、APP地推与CPS/CPA归属统计等方面。
20羽毛
立即兑换
一书一课30天会员体验卡
领30天VIP会员,110+门职场大课,250+本精读好书免费学!助你提升职场力!
20羽毛
立即兑换
顺丰同城急送全国通用20元优惠券
顺丰同城急送是顺丰推出的平均1小时送全城的即时快送服务,专业安全,准时送达!
30羽毛
立即兑换
链新
链新
发表文章307
链新(ChinaBlockchainNews),打造区块链精英读物,文章同步发表于财经链新频道。
确认要消耗 0羽毛购买
黑客虎视眈眈,资产频繁被盗,警惕NFT安全风险吗?
考虑一下
很遗憾,羽毛不足
我知道了

我们致力于提供一个高质量内容的交流平台。为落实国家互联网信息办公室“依法管网、依法办网、依法上网”的要求,为完善跟帖评论自律管理,为了保护用户创造的内容、维护开放、真实、专业的平台氛围,我们团队将依据本公约中的条款对注册用户和发布在本平台的内容进行管理。平台鼓励用户创作、发布优质内容,同时也将采取必要措施管理违法、侵权或有其他不良影响的网络信息。


一、根据《网络信息内容生态治理规定》《中华人民共和国未成年人保护法》等法律法规,对以下违法、不良信息或存在危害的行为进行处理。
1. 违反法律法规的信息,主要表现为:
    1)反对宪法所确定的基本原则;
    2)危害国家安全,泄露国家秘密,颠覆国家政权,破坏国家统一,损害国家荣誉和利益;
    3)侮辱、滥用英烈形象,歪曲、丑化、亵渎、否定英雄烈士事迹和精神,以侮辱、诽谤或者其他方式侵害英雄烈士的姓名、肖像、名誉、荣誉;
    4)宣扬恐怖主义、极端主义或者煽动实施恐怖活动、极端主义活动;
    5)煽动民族仇恨、民族歧视,破坏民族团结;
    6)破坏国家宗教政策,宣扬邪教和封建迷信;
    7)散布谣言,扰乱社会秩序,破坏社会稳定;
    8)宣扬淫秽、色情、赌博、暴力、凶杀、恐怖或者教唆犯罪;
    9)煽动非法集会、结社、游行、示威、聚众扰乱社会秩序;
    10)侮辱或者诽谤他人,侵害他人名誉、隐私和其他合法权益;
    11)通过网络以文字、图片、音视频等形式,对未成年人实施侮辱、诽谤、威胁或者恶意损害未成年人形象进行网络欺凌的;
    12)危害未成年人身心健康的;
    13)含有法律、行政法规禁止的其他内容;


2. 不友善:不尊重用户及其所贡献内容的信息或行为。主要表现为:
    1)轻蔑:贬低、轻视他人及其劳动成果;
    2)诽谤:捏造、散布虚假事实,损害他人名誉;
    3)嘲讽:以比喻、夸张、侮辱性的手法对他人或其行为进行揭露或描述,以此来激怒他人;
    4)挑衅:以不友好的方式激怒他人,意图使对方对自己的言论作出回应,蓄意制造事端;
    5)羞辱:贬低他人的能力、行为、生理或身份特征,让对方难堪;
    6)谩骂:以不文明的语言对他人进行负面评价;
    7)歧视:煽动人群歧视、地域歧视等,针对他人的民族、种族、宗教、性取向、性别、年龄、地域、生理特征等身份或者归类的攻击;
    8)威胁:许诺以不良的后果来迫使他人服从自己的意志;


3. 发布垃圾广告信息:以推广曝光为目的,发布影响用户体验、扰乱本网站秩序的内容,或进行相关行为。主要表现为:
    1)多次发布包含售卖产品、提供服务、宣传推广内容的垃圾广告。包括但不限于以下几种形式:
    2)单个帐号多次发布包含垃圾广告的内容;
    3)多个广告帐号互相配合发布、传播包含垃圾广告的内容;
    4)多次发布包含欺骗性外链的内容,如未注明的淘宝客链接、跳转网站等,诱骗用户点击链接
    5)发布大量包含推广链接、产品、品牌等内容获取搜索引擎中的不正当曝光;
    6)购买或出售帐号之间虚假地互动,发布干扰网站秩序的推广内容及相关交易。
    7)发布包含欺骗性的恶意营销内容,如通过伪造经历、冒充他人等方式进行恶意营销;
    8)使用特殊符号、图片等方式规避垃圾广告内容审核的广告内容。


4. 色情低俗信息,主要表现为:
    1)包含自己或他人性经验的细节描述或露骨的感受描述;
    2)涉及色情段子、两性笑话的低俗内容;
    3)配图、头图中包含庸俗或挑逗性图片的内容;
    4)带有性暗示、性挑逗等易使人产生性联想;
    5)展现血腥、惊悚、残忍等致人身心不适;
    6)炒作绯闻、丑闻、劣迹等;
    7)宣扬低俗、庸俗、媚俗内容。


5. 不实信息,主要表现为:
    1)可能存在事实性错误或者造谣等内容;
    2)存在事实夸大、伪造虚假经历等误导他人的内容;
    3)伪造身份、冒充他人,通过头像、用户名等个人信息暗示自己具有特定身份,或与特定机构或个人存在关联。


6. 传播封建迷信,主要表现为:
    1)找人算命、测字、占卜、解梦、化解厄运、使用迷信方式治病;
    2)求推荐算命看相大师;
    3)针对具体风水等问题进行求助或咨询;
    4)问自己或他人的八字、六爻、星盘、手相、面相、五行缺失,包括通过占卜方法问婚姻、前程、运势,东西宠物丢了能不能找回、取名改名等;


7. 文章标题党,主要表现为:
    1)以各种夸张、猎奇、不合常理的表现手法等行为来诱导用户;
    2)内容与标题之间存在严重不实或者原意扭曲;
    3)使用夸张标题,内容与标题严重不符的。


8.「饭圈」乱象行为,主要表现为:
    1)诱导未成年人应援集资、高额消费、投票打榜
    2)粉丝互撕谩骂、拉踩引战、造谣攻击、人肉搜索、侵犯隐私
    3)鼓动「饭圈」粉丝攀比炫富、奢靡享乐等行为
    4)以号召粉丝、雇用网络水军、「养号」形式刷量控评等行为
    5)通过「蹭热点」、制造话题等形式干扰舆论,影响传播秩序


9. 其他危害行为或内容,主要表现为:
    1)可能引发未成年人模仿不安全行为和违反社会公德行为、诱导未成年人不良嗜好影响未成年人身心健康的;
    2)不当评述自然灾害、重大事故等灾难的;
    3)美化、粉饰侵略战争行为的;
    4)法律、行政法规禁止,或可能对网络生态造成不良影响的其他内容。


二、违规处罚
本网站通过主动发现和接受用户举报两种方式收集违规行为信息。所有有意的降低内容质量、伤害平台氛围及欺凌未成年人或危害未成年人身心健康的行为都是不能容忍的。
当一个用户发布违规内容时,本网站将依据相关用户违规情节严重程度,对帐号进行禁言 1 天、7 天、15 天直至永久禁言或封停账号的处罚。当涉及欺凌未成年人、危害未成年人身心健康、通过作弊手段注册、使用帐号,或者滥用多个帐号发布违规内容时,本网站将加重处罚。


三、申诉
随着平台管理经验的不断丰富,本网站出于维护本网站氛围和秩序的目的,将不断完善本公约。
如果本网站用户对本网站基于本公约规定做出的处理有异议,可以通过「建议反馈」功能向本网站进行反馈。
(规则的最终解释权归属本网站所有)

我知道了
恭喜你~答对了
+5羽毛
下一次认真读哦
成功推荐给其他人
+ 10羽毛
评论成功且进入审核!审核通过后,您将获得10羽毛的奖励。分享本文章给好友阅读最高再得15羽毛~
(羽毛可至 "羽毛精选" 兑换礼品)
好友微信扫一扫
复制链接