BlockSecはデジタルコレクション契約の脆弱性を暴露し、3400万ドルの資産が永久にロックされることになった

BlockSecは最近、あるデジタルコレクション契約の安全審査を行い、2つの重大な脆弱性を発見しました。これらの脆弱性は、ユーザーの資産がロックされ、プロジェクトの資金が引き出せないなどの深刻な結果を引き起こす可能性があります。

最初の脆弱性は、返金処理機能に存在します。この機能は、すべてのユーザーに対して返金を行うためにループ方式を採用していますが、特定のユーザーが悪意のある契約である場合、返金を受け取ることを拒否し、取引を終了させる可能性があり、その結果、すべてのユーザーの返金操作が失敗することになります。幸いなことに、この脆弱性はまだ利用されていません。

類似の問題を避けるために、プロジェクトには以下のセキュリティ対策を講じることをお勧めします。

1. 制限は個人ユーザーアカウントのみがプロジェクトに参加できることです。
2. ERC20トークンを使用し、ネイティブアセットではなく
3. ユーザーが自発的に返金を請求するメカニズムを設計し、バルク返金ではなくする

!

第二の脆弱性は、コードの記述ミスによって引き起こされました。プロジェクト資金を引き出す機能の中で、条件判断文に論理エラーが発生し、プロジェクトが契約内の資金を引き出せなくなりました。現在、3400万ドル以上の資産が契約内に永久にロックされています。

!

これはプロジェクト開発プロセスにおける包括的なテストとセキュリティ監査の重要性を再度強調しています。DeFi分野では、セキュリティ監査が一般的な慣行となっていますが、デジタルコレクションプロジェクトでは、このプロセスがしばしば無視され、大きな損失を引き起こしています。

プロジェクトは開発過程で十分なテストケースを作成し、基本的な安全意識を育てるべきです。同時に、高価値のデジタルコレクションプロジェクトに対して、専門的なセキュリティ監査を行うことも非常に必要であり、類似の重大な損失が再発するのを避けるためです。

!