The Association NFT, NBA tarafından başlatılan bir NFT'dir. Ancak NFT satış sözleşmesinin ciddi bir güvenlik açığı içerdiğini tespit ettik; bu açık, bir saldırganın herhangi bir Token ödemeden çok sayıda NFT basmesine olanak tanımaktadır.
Güvenlik açığının temel nedeni, imza doğrulamanın hatalı kullanımıdır. Temel olarak sözleşme, imzanın yalnızca kullanıcı tarafından (ve yalnızca o kullanıcı tarafından) bir kez kullanılabilmesini garanti edememektedir. Bu durumda saldırgan, ayrıcalıklı bir kullanıcının imzasını yeniden kullanarak token'ları kendisine basabilir.
verify fonksiyonunda imza içinde gönderenin adresi bulunmamaktadır. Bunun yanı sıra, imzanın yalnızca bir kez kullanılabilmesini sağlayacak bir nonce mekanizması da mevcut değildir. Bu güvenlik gereksinimleri, yazılım güvenliği derslerindeki temel bilgilerdir.
Bu tür bir güvenlik açığının popüler bir NFT projesinde nasıl var olabildiği bizi şaşırtmaktadır. Tüm topluluğun sözleşme güvenliğine daha fazla önem vermesi gerekmektedir.
BlockSec Hakkında
BlockSec, 2021 yılında dünya genelinde tanınan güvenlik uzmanlarından oluşan bir grup tarafından kurulmuş öncü bir blok zinciri güvenlik şirketidir. Şirket, kitlesel benimsenmesini kolaylaştırmak amacıyla gelişmekte olan Web3 dünyasının güvenliğini ve kullanılabilirliğini artırmaya kendini adamıştır. Bu doğrultuda BlockSec; akıllı sözleşme ve EVM zinciri güvenlik denetimi hizmetleri, güvenlik geliştirme ve tehditleri proaktif olarak engelleme amacıyla Phalcon platformu, fon takibi ve araştırma için MetaSleuth platformu ve kripto dünyasında web3 geliştiricilerinin verimli gezinmesi için MetaSuites eklentisi sunmaktadır.
Şirket bugüne kadar MetaMask, Uniswap Foundation, Compound, Forta ve PancakeSwap gibi 300'den fazla saygın müşteriye hizmet vermiş; Matrix Partners, Vitalbridge Capital ve Fenbushi Capital gibi önde gelen yatırımcılardan iki yatırım turunda onlarca milyon ABD doları finansman almıştır.
Resmi web sitesi: https://blocksec.com/
Resmi Twitter hesabı: https://twitter.com/BlockSecTeam
