デジタルコレクション契約の脆弱性により3400万ドルがロックされる 安全監査は急務である

あるブロックチェーンセキュリティ会社が最近、あるデジタルコレクション契約に2つの重大な脆弱性が存在することを発見しました。これらの脆弱性は、ユーザーやプロジェクトに重大な損失をもたらす可能性があります。

最初の脆弱性は、返金処理関数に存在しています。この関数はループを使用してすべてのユーザーに対して返金を行いますが、もしその中に悪意のあるコントラクトがあれば、全体の返金プロセスが失敗する可能性があります。これは、すべてのユーザーの返金トランザクションが取り消される可能性があることを意味します。幸いなことに、この脆弱性は実際に悪用されていませんでした。

!

類似の問題を避けるために、プロジェクトは返金メカニズムを設計する際に以下の措置を講じることをお勧めします：

1. 外部アカウント（EOA）ユーザーのみがプロジェクトに参加できる制限
2. ERC20トークン（例えばWETH）をネイティブ資産の代わりに使用する
3. ユーザーが自分で返金を申請できる機能を設計するのではなく、一括返金を行う。

!

第二の脆弱性はプログラムのバグであり、プロジェクト資金の引き出し関数に現れました。条件判断文の誤った記述により、プロジェクトは契約内の資金を引き出すことができませんでした。具体的には、関数内で間違った変数を比較したため、条件が永遠に満たされない状態になりました。このミスにより、3400万ドル以上の資産が契約内に永久にロックされてしまいました。

!

この事件は、知名なプロジェクトであっても基本的なエラーが発生する可能性があることを再度浮き彫りにしました。開発プロセスにおいて十分なテストを行い、安全意識を持つことの重要性を強調しています。分散型金融（DeFi）分野では、安全監査が一般的な手法となっていますが、デジタルコレクションプロジェクトでは、このプロセスが不足しているようです。今回の不注意は直接的に巨額の損失を引き起こし、デジタルコレクションプロジェクトも安全監査の重要性を重視する必要があることを浮き彫りにしました。