BOOB:a16z:浅析NFT新术「Sleep Minting」的原理与预防_QUO

作为一个NFT收藏家,你应该关心链上的合约出处,NFT最真实的出处是直接从创造者的钱包或创造者拥有的智能合约中铸造出来的。然而,通过一些小技巧,有人可以使用一种被称为"SleepMinting"的技术来操纵NFT的创作者来源。

SleepMinting是指者直接将NFT铸造到一个著名的创作者的钱包,并从创作者的钱包中回收NFT。这就造成了这样的假象:(1)创作者自己真实地铸造了一个NFT;(2)将该NFT发送给了一个子;基于"链上"的出处,子可以声称他们拥有一个著名创作者铸造的NFT,并以更高的价值出售。这在技术上是如何运作的?首先,了解智能合约如何存储NFT的出处和所有权是至关重要的。任何人都可以使用ERC-721标准中的ownerOf(tokenId)函数查询NFT智能合约,以确定NFT的当前所有者是谁。你甚至可以通过改变eth_callRPC方法参数来查询特定区块编号的NFT所有者。然而,查看所有权变化的最简单方法是查看ERC-721传输事件日志。我的a16zCrypto同事DarenMatsuoka在Twitter上写了一篇关于事件日志和它们如何工作的精彩文章。转移事件日志是由智能合约向外界发送的消息,包含关于NFT转移的细节。转移事件日志提供了一种有效的方式来检查NFT的来源。

Lookonchain:疑似Amber的机构在今天市场下跌前抛售1736万美元WBTC和926万美元ETH:金色财经报道,据Lookonchain监测显示,某机构(也许是AmberGroup)在今天市场下跌之前抛售了800枚WBTC(1,736万美元)和6,042枚ETH(926万美元)。在2月10日市场下跌之前,还抛售了6,525枚ETH(1,080万美元)和1,000枚WBTC(2,284万美元)。[2023/3/10 12:54:15]

SleepMinting的局

大众认为,如果你发送交易来转移NFT,那么你的地址应该在event中作为"from"字段。然而,当一个子从一个著名的创造者那里取回一个sleepingNFT时,情况就不是这样了。子可以人为地将著名创作者的地址加上"from"字段。Sleepminting这是beeple的数百万美元的作品"First5000Days"在rarible上出售。看看截图,上面清楚地写着"创造者:

AmberGroup将从6月1日起暂停对中国用户服务:5月24日消息,加密金融智能服务提供商AmberGroup向部分用户发送短信,称其APP产品将从6月1日起暂停对中国用户的服务。[2021/5/24 22:39:17]

但这是个局。它的创造者MonsieurPersonne,也自称是NFTs的Banksy,故意用beeple的名字铸造了这幅作品,他使用了一种叫做sleepminting的技术。那么他是如何做到的呢?基础知识NFTs是使用ERC-721智能合约创建的,他们把NFTs的所有权记录作为一个列表。一个地址和一个作品的序列号组成一个对。像这样。Alice:1Booble:2Malory:3成交后,Alice可以通过以下方式将她的NFT转让给Booble。转让1:Alice==>Booble现在列表更新如下:Alice:Booble:2,1Malory:3在以太坊,我们用地址名字来识别,而且我们需要签署转账来授权。但是在这篇文章提供的例子中,我将使用明确的名字来简化解释。现在,通常开发者以合理的方式实现ERC-721合约。Alice只有在她拥有一个NFT并能提供有效签名的情况下才可以转让。ERC-721标准只是一个社会契约,它定义了一个允许艺术平台互操作的接口。只要合同的接口与ERC-721合同的接口相匹配,任何机器都会认为它是有效的。但是,正如我们现在所看到的,这可能会导致以太坊上的NFTs出处出现安全问题,它是可以被篡改的。正如我所说,任何合理的ERC-721合约都会允许矿工只为自己造币,并且只转让他们拥有的碎片。但是,假设我们定制了我们的ERC-721合约,使我们可以向其他账户铸造。假设我们调整了转让功能,使我们的账户在某些情况下,也可以转让另一个人的NFT。那么,我们就可以建立一个允许我们sleepmint的合约。举例:作为攻击者Malory,我们给Booble铸造一个序列号为1的作品。mint1:address(0)=>Booble(由Malory执行)现在我们的配对看起来如下:Alice:Booble:1Malory:然后,由于Malory已经调整了合同,将序列号为1的作品从Booble的账户转移到任何其他账户,她可以在像rarible这样的NFT平台上提供出售。由于她从地址(0)到Booble的铸币为"创造者--Booble"被显示出来。

Amber Group Michael Wu:对个人投资者来说长期持有和寻找专业靠谱的加密金融机构是窍门:12月31日消息,金色财经年度巨献洞见财富密码2021投资策略会上Amber Group创始人兼CEOMichael Wu《2020币圈行情与社区发展趋势变化》的精华看点如下:全球机构和高净值人群对比特币的配置趋势是不可逆的,因为他们已经越来越认可以比特币为代表的优质加密资产可作为资产组合配置的一部分。这种心态的转变,是当前机构资金持续且强势流入的关键,也是加密金融行业发展的关键。

散户投资者和机构投资者应当获得同等专业合规的“机构级”服务。Amber Group正在打破传统叙事中对散户和机构投资者的认知差异,通过提供加密金融相关教育、创新加密金融产品和工具,让加密金融服务更专业、更安全、更灵活、更易获取,帮助散户建立长期投资加密资产的信心。而对个人投资者,“参与是首要,选择主流加密资产是关键,长期持有和寻找专业靠谱的加密金融机构是窍门”。[2020/12/31 16:10:51]

动态 | 菲律宾数字营销公司Ambidextr将接受加密货币支付:PundiX Labs官方宣布,菲律宾数字营销公司Ambidextr已成为手机加密钱包XWallet的合作商户,成为菲律宾第一家接受加密货币作为支付选项的商家。[2019/10/17]

一旦Malory成功了一个买家,她就会收到她的"Ethers",并将假冒作品卖给买家。转让1:Booble=>买方。更新后的所有权记录现在是这样的。Alice:Booble:Malory:Buyer:1就这样,Malory成功地篡改了NFT的创作出处记录,以高于其价值的价格出售了她的作品。具体细节:仔细查看rarible和Etherscan的信息,我们会发现这更像是一个接口问题,而不是一个安全漏洞。没有人能够进入beeple的账户。另外,当仔细看一下交易记录时,可以发现子的手法:伪造的mint交易伪造的转账交易

动态 | ICO服务公司Ambisafe裁员近60%:据coindesk报道,ICO服务公司Ambisafe已在2018年的最后两个月裁员70人,员工现仅剩50人。该公司旧金山总部15名全职员工中有10名被解雇,乌克兰Ambisafe办事处的60名合同工未续签。该公司首席执行官Andrii Zamovsky表示,美国证券监管机构的行动使ICO筹资方式的吸引力降低,该公司业务显着减少。Zamozsky称,他们获得的最好的教训是,向证券型代币交易的迁移并没有预期中的那样快。[2019/4/19]

对于mint交易,我们可以看到Etherscan显示两个"From"字段。一个是msg.sender发送的交易,另一个是说明NFT的发件人。对于交易的发件人字段,即msg.sender,它不能被人为操纵,因为它需要发件人的私钥的有效签名。然而,对“TokensTransferred”的字段的授权受制于智能合约的漏洞,因此,可能会人为操纵。简单地说,子可以对“TokensTransferred”字段进行任意修改。因此,我们必须检查From和TokensTransferred是否都与beeple的正确地址相符。如果不是,那就是假的。这种攻击它与"rugpull"类似,有人认为区块链使web2问题都消失了,因为每一个数据都是经过认证和检查授权的。但事实是,这些问题并没有消失。它们只是转移到了别的地方。

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

区块博客

[0:0ms0-4:50ms