O Association NFT é um NFT lançado pela NBA. No entanto, descobrimos que o contrato de venda do NFT possui uma vulnerabilidade grave que permite a um atacante cunhar uma grande quantidade de NFTs sem pagar nenhum Token.
A causa raiz da vulnerabilidade é o uso incorreto da verificação de assinatura. Basicamente, o contrato falha em garantir que a assinatura só possa ser utilizada pelo usuário (e somente por ele) uma única vez. Nesse caso, o atacante pode reutilizar a assinatura de um usuário privilegiado e cunhar tokens para si mesmo.
Podemos observar que na função verify, não há o endereço do remetente na assinatura. Além disso, não existe nenhum mecanismo para incluir um nonce que garanta que a assinatura só possa ser utilizada uma única vez. Esses requisitos de segurança são conhecimentos básicos em qualquer curso de segurança de software.
Ficamos surpresos com o fato de uma vulnerabilidade como essa poder existir em um projeto de NFT tão popular. Toda a comunidade precisa prestar mais atenção à segurança dos contratos.
Sobre a BlockSec
A BlockSec é uma empresa pioneira em segurança de blockchain, fundada em 2021 por um grupo de especialistas em segurança de reconhecimento mundial. A empresa está comprometida em aprimorar a segurança e a usabilidade para o emergente mundo Web3, a fim de facilitar sua adoção em massa. Para isso, a BlockSec oferece serviços de auditoria de segurança de contratos inteligentes e chains EVM, a plataforma Phalcon para desenvolvimento seguro e bloqueio proativo de ameaças, a plataforma MetaSleuth para rastreamento e investigação de fundos, e a extensão MetaSuites para construtores web3 que navegam com eficiência no mundo cripto.
Até o momento, a empresa atendeu mais de 300 clientes renomados, como MetaMask, Uniswap Foundation, Compound, Forta e PancakeSwap, e recebeu dezenas de milhões de dólares americanos em duas rodadas de financiamento de investidores proeminentes, incluindo Matrix Partners, Vitalbridge Capital e Fenbushi Capital.
Site oficial: https://blocksec.com/
Conta oficial no Twitter: https://twitter.com/BlockSecTeam
