NBA数字收藏品合约现重大漏洞 白名单签名验证存缺陷

robot
摘要生成中

NBA 近期推出了数字收藏品,但令人担忧的是,其销售合约中存在重大漏洞。安全研究人员发现,恶意用户可以利用这一漏洞,无需支付任何费用就能铸造收藏品,并通过出售获取不当利益。

这一安全隐患的根源在于合约对白名单用户签名的验证机制存在缺陷。具体而言,合约未能确保白名单签名仅限特定用户使用,且每个签名只能使用一次。这导致攻击者可以重复使用其他白名单用户的签名来铸造收藏品。

从合约代码分析可见,verify函数在验证签名时未将交易发起者的地址纳入签名内容。此外,合约也没有实现防止签名重复使用的机制。这些安全措施本应是软件开发中的基础知识,却在如此知名的项目中被忽视,令人难以置信。

这一事件凸显了在区块链项目开发过程中,即使是大型组织也可能忽视基本的安全实践。它提醒我们,在设计智能合约时,必须格外注意安全细节,尤其是在处理用户权限和交易验证时。同时,这也强调了在项目上线前进行全面、专业的安全审计的重要性,以避免类似的漏洞给用户和项目带来潜在损失。

对于区块链行业的参与者来说,这个案例是一个警示:无论项目规模如何,都不能忽视基本的安全原则。开发团队应该持续学习和更新安全知识,并在项目各个阶段都严格执行安全检查。同时,用户在参与任何区块链项目时也应保持警惕,了解潜在风险,并选择经过严格安全审计的平台进行交互。

此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 8
  • 转发
  • 分享
评论
0/400
链上算命先生vip
· 07-27 01:03
白名单不验签 这智商堪忧啊
回复0
RugPull预警机vip
· 07-26 15:17
这笔钱最后流向龙卷风混币器 必有大事
回复0
巨鲸资深观察员vip
· 07-24 17:47
这智商交了智商税啊
回复0
代码审计姐vip
· 07-24 06:13
老生常谈的签名重放又来了 审核的时候都在睡觉吗
回复0
资深毛衣爱好者vip
· 07-24 06:06
签名机制都不会写?菜鸡实锤了
回复0
空投碰瓷哥vip
· 07-24 05:56
他还想赚我钱?套路被我看穿了
回复0
链上小透明vip
· 07-24 05:51
合约都不先审计吗 太离谱了吧
回复0
散户心理医生vip
· 07-24 05:49
这么大项目也被薅 他奶奶的
回复0
交易,随时随地
qrCode
扫码下载 Gate APP
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)