ثغرة في عقد مقتنيات NBA الرقمية يمكن استغلالها للتعدين المجاني وتحقيق الربح

أصدرت رابطة الدوري الوطني لكرة السلة (NBA) مؤخرًا مجموعة من المقتنيات الرقمية، ولكن ما يثير القلق هو وجود ثغرات خطيرة في عقود البيع الخاصة بها. اكتشف باحثو الأمان أن المجرمين يمكنهم استغلال هذه الثغرة لسك المقتنيات دون أي تكلفة، وتحقيق مكاسب غير مشروعة من خلال البيع.

تعود جذور هذه الثغرة إلى وجود ثغرات أمنية في التحقق من توقيع المستخدمين المدرجين في القائمة البيضاء. لم يتمكن العقد من ضمان فريدة وتخصص توقيع القائمة البيضاء، مما أدى إلى إمكانية استخدام المهاجمين لتوقيع مستخدمين آخرين في القائمة البيضاء لتشكيل التحف.

من الناحية التقنية، يحتوي تصميم دالة verify على عيوب واضحة. لم تأخذ عنوان المرسل في عملية التحقق من التوقيع، وتفتقر إلى آلية لمنع إعادة استخدام التوقيع. كان ينبغي أن تكون هذه التدابير الأمنية من البديهيات الأساسية في تطوير البرمجيات، لكنها تم تجاهلها في هذا المشروع الذي يحظى باهتمام كبير، مما يثير الدهشة حقًا.

!

إن ظهور مثل هذه الثغرات الأمنية لا يضر فقط بمصالح المشروع، بل يلحق أيضًا ضررًا بالسوق الرقمية للأصول. إنه يبرز أنه حتى المؤسسات المعروفة قد ترتكب إهمالًا في الممارسات الأمنية الأساسية أثناء تطوير مشاريع البلوكشين. يجب أن تكون هذه الحادثة بمثابة تحذير للصناعة، تذكيرًا للمطورين بضرورة توخي الحذر الشديد عند تصميم العقود الذكية، خاصة عند التعامل مع الوظائف الأساسية المتعلقة بالأصول والصلاحيات.

لمنع حدوث مشاكل مماثلة في المستقبل، يجب على فريق التطوير تعزيز عملية تدقيق الشيفرة، وإدخال آليات اختبار أمني أكثر صرامة. وفي الوقت نفسه، يُنصح أيضًا بأن ينظر المشروع في توظيف خبراء أمان مستقلين لإجراء مراجعة مستقلة، لضمان أمان العقود وموثوقيتها. فقط من خلال ذلك يمكن حماية مصالح المستخدمين حقًا، والحفاظ على التنمية الصحية لسوق المقتنيات الرقمية.

!