Спортивна ліга цифрових колекційних предметів має суттєву вразливість безпеки Технічний дефект може призвести до безкоштовного мінтингу

Нещодавно відомий спортивний альянс запустив серію цифрових колекційних предметів, що викликало широке зацікавлення на ринку. Однак у цьому проекті, що отримав велику увагу, було виявлено серйозну вразливість безпеки. Ця вразливість дозволила деяким технічним експертам безкоштовно створювати ці цифрові колекційні предмети та отримувати з цього прибуток.

!

Ця уразливість безпеки виникає через недоліки в механізмі перевірки конкретних користувачів. Зокрема, система не забезпечує ефективну перевірку того, що підпис може використовуватися лише призначеним користувачем, і що кожен підпис може бути використаний лише один раз. Це призводить до небезпечної ситуації: технічні спеціалісти можуть повторно використовувати підписи інших легітимних користувачів для створення цифрових колекцій.

З технічної точки зору, проблема полягає в дизайні функції верифікації. Ця функція під час перевірки підпису не включає адресу ініціатора транзакції в зміст підпису. Ще більш важливо, що система також не встановила механізм, що гарантує, що кожен підпис може використовуватися лише один раз. Це мали бути найосновніші заходи безпеки в розробці програмного забезпечення, але вони були ігноровані в цьому проєкті.

Для такого високопрофільного проєкту наявність такої базової вразливості безпеки дійсно є несподіванкою. Це не лише виявляє недбалість команди проєкту в управлінні безпекою, а й підкреслює, що в сфері блокчейну та цифрових активів навіть великі інститути можуть допускати помилки в основних практиках безпеки.

!

Ця подія ще раз нагадує нам, що під час розробки та впровадження смарт-контрактів комплексний аудит безпеки та суворі процеси тестування є невід'ємними. Одночасно, вона підкреслює важливість безперервного навчання та оновлення знань з безпеки в швидко розвиваючійся сфері технологій блокчейн.