Недавно НБА запустила серию цифровых коллекционных предметов, но вызывает опасения то, что в их контракте на продажу существуют серьезные уязвимости в безопасности. Технические эксперты обнаружили, что эту уязвимость могут использовать преступники для осуществления безвозмездного минтинга коллекционных предметов и получения прибыли от этого.
Корень проблемы заключается в том, что механизм проверки подписей пользователей из белого списка имеет недостатки. В дизайне контракта не удалось обеспечить эксклюзивность и одноразовое использование подписей белого списка, что означает, что злоумышленник может повторно использовать подписи других пользователей из белого списка для минтинга коллекционных предметов.
Анализируя код контракта, можно увидеть, что функция verify при проектировании игнорировала включение адреса отправителя в процесс проверки подписи, а также не реализовала механизм предотвращения повторного использования подписи. Эти меры безопасности должны быть основными, однако в таком громком проекте они были проигнорированы, что действительно шокирует.
Это упущение не только выявило недостатки команды проекта в области безопасности смарт-контрактов, но и подчеркнуло проблемы с реализацией технологий на рынке цифровых коллекционных предметов.