簡析NFT交易平臺的發展歷程及4F評估模型_NFT

NFT聚合平臺如何促進行業發展？早在2016-2018年，以OpenSea，MakersPlace，SuperRare為代表的第一批NFT交易市場橫空出世。在那時，有一部分交易平臺使用了邀請制，只有受邀的藝術家才可以進行創作和發行。而隨著市場的發展，有越來越多的NFT交易平臺進入大家的視野，這些平臺融入了更多金融的玩法和元素，包括NFTAMM市場，去中心化的市場，租借質押市場等。在文章中，我們將探索NFT交易平臺的發展歷程，以及如何用4F模型評估一個好的交易平臺。發展歷程

在某種程度上，NFT交易平臺反映了NFT整個市場的熱點變遷，在2021年年初，通過社媒放大話語傳播和藝術家聚焦效應，諸如Beeple高價NFT作品拍賣成為市場熱點。在那個時候，NFT往往圍繞著藝術和藝術家，多數交易平臺只會挑選和邀請有一定名氣的創作者進駐創造1/1的藝術品。NFT本身也有Banksy等街頭藝術家所代表的風格，重復粘貼的畫報，突出夸張的筆觸，迎面而來的文化沖擊，以及最重要的——個性，換句話說，identity。雖然我們沒辦法在洛杉磯的街巷中涂滿整面墻壁，但我們可以將所認同的文化通過meme鋪向整個網絡。街角的涂鴉有可能第二天會被警察用白漆蓋住，而存儲在IPFS上的NFT，永遠都會在那里。因此，NFT便不停留在藝術的單品交易本身，而是以集合方式進行交易，meme漸漸成為社區，成為品牌。由此，我們可以看到，OpenSea遠遠超過了在16-18年同一時期的其他交易平臺。與此同時，由于NFT交易的火熱，也誕生了很多其他的交易市場。但之后，NFT市場又有了新的演化。熱點下總會有機會，NFT市場也有從眾效應。FOMO,FUD等一系列圈內黑話應運而生。除了社區和傳播屬性，NFT同時也是一種資產。很多人發現了機會——通過拿白以及FlipNFT賺錢。因此，市場上出現了一系列數據分析工具，比如NFTGo.io,rarity.tools等。這些工具不僅為買賣NFT增加了一定的勝算，也創造了市場上新的范式和玩法。市場中用戶的需求變化也出現了變化，比如，如何在所有大大小小交易市場中找到最低的報價？如何選擇最有價值的NFT？NFT交易市場也從1.0的版本轉向了2.0——一個兼具數據分析和聚合交易的NFT平臺。為何NFT聚合平臺至關重要

Beosin：ULME代幣項目遭受黑客攻擊事件簡析:金色財經報道，10月25日，據Beosin EagleEye 安全預警與監控平臺檢測顯示，ULME代幣項目被黑客攻擊，目前造成50646 BUSD損失，黑客首先利用閃電貸借出BUSD，由于用戶前面給ULME合約授權，攻擊者遍歷了對合約進行授權的地址，然后批量轉出已授權用戶的BUSD到合約中,提高價格ULME價格，然后黑客賣掉之前閃電貸借出的ULME，賺取BUSD，歸還閃電貸獲利離場。Beosin安全團隊建議用戶用戶取消BUSD對ULME合約的授權并及時轉移資金減少損失。[2022/10/25 16:38:21]

谷歌聚合了來自網站的內容，Facebook聚合了社交關系，DEX聚合了不同的流動性挖礦模型。聚合器不僅能夠幫助用戶更多捕獲區塊鏈時代的大部分價值，同時也是NFT生態系統不可或缺的一部分。一般來說，NFT主要創建在以太坊、Flow和BSC等各種鏈上，每個鏈都有一個孤立的協議生態系統。同時，當前有各種各樣的交易市場出現。盡管這些市場提供了多樣化的NFT服務，但在交易和查找NFT信息時會帶來一定的挑戰，一方面，新來者可能不知道如何找到最好的市場，專業交易者可能希望找到最優的價格。另一方面，不同的市場有不同的界面，這也增加了用戶的學習成本。想象一下，你想搜索市場上熱門NFT項目的最優報價，可能需要在不同的市場之間切換才能查看所有NFT。或者，如果您是投資者，想要查看NFT市場的所有最新數據和各種指標。由于NFT信息如此分散，可能需要幾分鐘才能獲取本應在幾秒鐘內找到的數據。對于那些不熟悉NFT的人來說，他們經常花費大量時間搜索內容，但最終卻沒有任何有用的信息。因此，專業的NFT聚合器非常重要。NFT聚合器是將各大鏈上的各類NFT交易信息集中到一個地方，為用戶節省時間，提高效率，從而實現更好的交易體驗。通過NFTGo的「一站式」NFT聚合服務，用戶只需要打開一個網頁，就可以總覽NFT市場全貌，了解最新流行趨勢，查找，搜索和交易關于NFT的一切。4F評估模型

慢霧：跨鏈互操作協議Nomad橋攻擊事件簡析:金色財經消息，據慢霧區消息，跨鏈互操作協議Nomad橋遭受黑客攻擊，導致資金被非預期的取出。慢霧安全團隊分析如下：

1. 在Nomad的Replica合約中，用戶可以通過send函數發起跨鏈交易，并在目標鏈上通過process函數進行執行。在進行process操作時會通過acceptableRoot檢查用戶提交的消息必須屬于是可接受的根，其會在prove中被設置。因此用戶必須提交有效的消息才可進行操作。

2. 項目方在進行Replica合約部署初始化時，先將可信根設置為0，隨后又通過update函數對可信根設置為正常非0數據。Replica合約中會通過confirmAt映射保存可信根開始生效的時間以便在acceptableRoot中檢查消息根是否有效。但在update新根時卻并未將舊的根的confirmAt設置為0，這將導致雖然合約中可信根改變了但舊的根仍然在生效狀態。

3. 因此攻擊者可以直接構造任意消息，由于未經過prove因此此消息映射返回的根是0，而項目方由于在初始化時將0設置為可信根且其并未隨著可信根的修改而失效，導致了攻擊者任意構造的消息可以正常執行，從而竊取Nomad橋的資產。

綜上，本次攻擊是由于Nomad橋Replica合約在初始化時可信根被設置為0x0，且在進行可信根修改時并未將舊根失效，導致了攻擊可以構造任意消息對橋進行資金竊取。[2022/8/2 2:52:59]

衡量一個好的NFT交易市場有幾個方面，我們稱之為4F模型，分別是Fluency,Fees,FunctionandFinance。

Grim Finance 被黑簡析：攻擊者通過閃電貸借出 WFTM 與 BTC 代幣:據慢霧區情報，2021 年 12 月 19 日，Fantom 鏈上 Grim Finance 項目遭受攻擊。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. 攻擊者通過閃電貸借出 WFTM 與 BTC 代幣，并在 SpiritSwap 中添加流動性獲得 SPIRIT-LP 流動性憑證。

2. 隨后攻擊者通過 Grim Finance 的 GrimBoostVault 合約中的 depositFor 函數進行流動性抵押操作，而 depositFor 允許用戶指定轉入的 token 并通過 safeTransferFrom 將用戶指定的代幣轉入 GrimBoostVault 中，depositFor 會根據用戶轉賬前后本合約與策略池預期接收代幣(預期接收 want 代幣，本次攻擊中應為 SPIRIT-LP)的差值為用戶鑄造抵押憑證。

3. 但由于 depositFor 函數并未檢查用戶指定轉入的 token 的合法性，攻擊者在調用 depositFor 函數時傳入了由攻擊者惡意創建的代幣合約地址。當 GrimBoostVault 通過 safeTransferFrom 函數調用惡意合約的 transferFrom 函數時，惡意合約再次重入調用了 depositFor 函數。攻擊者進行了多次重入并在最后一次轉入真正的 SPIRIT-LP 流動性憑證進行抵押，此操作確保了在重入前后 GrimBoostVault 預期接收代幣的差值存在。隨后 depositFor 函數根據此差值計算并為攻擊者鑄造對應的抵押憑證。

4. 由于攻擊者對 GrimBoostVault 合約重入了多次，因此 GrimBoostVault 合約為攻擊者鑄造了遠多于預期的抵押憑證。攻擊者使用此憑證在 GrimBoostVault 合約中取出了遠多于之前抵押的 SPIRIT-LP 流動性憑證。隨后攻擊者使用此 SPIRIT-LP 流動性憑證移除流動性獲得 WFTM 與 BTC 代幣并歸還閃電貸完成獲利。

此次攻擊是由于 GrimBoostVault 合約的 depositFor 函數未對用戶傳入的 token 的合法性進行檢查且無防重入鎖，導致惡意用戶可以傳入惡意代幣地址對 depositFor 進行重入獲得遠多于預期的抵押憑證。慢霧安全團隊建議：對于用戶傳入的參數應檢查其是否符合預期，對于函數中的外部調用應控制好外部調用帶來的重入攻擊等風險。[2021/12/19 7:49:04]

慢霧：Spartan Protocol被黑簡析:據慢霧區情報，幣安智能鏈項目 Spartan Protocol 被黑，損失金額約 3000 萬美元，慢霧安全團隊第一時間介入分析，并以簡訊的形式分享給大家參考：

1. 攻擊者通過閃電貸先從 PancakeSwap 中借出 WBNB；

2. 在 WBNB-SPT1 的池子中，先使用借來的一部分 WBNB 不斷的通過 swap 兌換成 SPT1，導致兌換池中產生巨大滑點；

3. 攻擊者將持有的 WBNB 與 SPT1 向 WBNB-SPT1 池子添加流動性獲得 LP 憑證，但是在添加流動性的時候存在一個滑點修正機制，在添加流動性時將對池的滑點進行修正，但沒有限制最高可修正的滑點大小，此時添加流動性，由于滑點修正機制，獲得的 LP 數量并不是一個正常的值；

4. 隨后繼續進行 swap 操作將 WBNB 兌換成 SPT1，此時池子中的 WBNB 增多 SPT1 減少；

5. swap 之后攻擊者將持有的 WBNB 和 SPT1 都轉移給 WBNB-SPT1 池子，然后進行移除流動性操作；

6. 在移除流動性時會通過池子中實時的代幣數量來計算用戶的 LP 可獲得多少對應的代幣，由于步驟 5，此時會獲得比添加流動性時更多的代幣；

7. 在移除流動性之后會更新池子中的 baseAmount 與 tokenAmount，由于移除流動性時沒有和添加流動性一樣存在滑點修正機制，移除流動性后兩種代幣的數量和合約記錄的代幣數量會存在一定的差值；

8. 因此在與實際有差值的情況下還能再次添加流動性獲得 LP，此后攻擊者只要再次移除流動性就能再次獲得對應的兩種代幣；

9. 之后攻擊者只需再將 SPT1 代幣兌換成 WBNB，最后即可獲得更多的 WBNB。詳情見原文鏈接。[2021/5/2 21:17:59]

Fluency是指交易和使用體驗的流暢度，是否可以一鍵購買想要的NFT，是否有清晰的交互界面和用戶邏輯，是否有可視化的功能。NFTGo.io擁有功能全面的搜索引擎，支持用戶使用元數據Metadata，甚至是自然語言進行NFT搜索。強大的搜索算法與排序邏輯，大大提高了用戶的搜集信息的效率，也豐富了搜索結果的呈現維度。同時，用戶可以批量掃地板，安全交易模式下能夠防止攻擊和浪費Gas費。Function是指功能是否全面且切中需求。比如是否有Filter功能，可以讓用戶快速找到他們想要的trait和條件。同時，產品可以幫助用戶分析比較當前不同的交易平臺的報價，進而選擇一個最低的價格，并將想要購買的NFT一同添加到購物車中購買。用戶不僅可以看到各種交易平臺上的價格，找到最低報價。還可以批量購買NFT，同時能夠了解當下NFT數據或行情。Fees是指交易費用，眾所周知，購買NFT時除了本身的價格，還有版稅和手續費。是否可以省去gas費，或是可以從多個市場獲取報價，從而用戶可以得到最優價格。Finance是指收益回報。如果用戶希望成功FlipNFT，一般需要通過數據和熱度作出投資決定。在為用戶呈現最全面數據的同時，NFTGo.io也為用戶提供了便捷的數據分析工具。用戶不僅可以一覽當下最火熱的NFT項目和市場情況，還能夠輕松地比較各種NFT之間的差異，例如巨鯨持倉，持有人數分布等。值得一提的是，NFTGo還能夠自動檢測清洗交易，防止買到可疑NFT。結語

Force DAO 代幣增發漏洞簡析:據慢霧區消息，DeFi 量化對沖基金 Force DAO 項目的 FORCE 代幣被大量增發。經慢霧安全團隊分析發現： 在用戶進行 deposit 操縱時，Force DAO 會為用戶鑄造 xFORCE 代幣，并通過 FORCE 代幣合約的 transferFrom 函數將 FORCE 代幣轉入 ForceProfitSharing 合約中。但 FORCE 代幣合約的 transferFrom 函數使用了 if-else 邏輯來檢查用戶的授權額度，當用戶的授權額度不足時 transferFrom 函數返回 false，而 ForceProfitSharing 合約并未對其返回值進行檢查。導致了 deposit 的邏輯正常執行，xFORCE 代幣被順利鑄造給用戶，但由于 transferFrom 函數執行失敗 FORCE 代幣并未被真正充值進 ForceProfitSharing 合約中。最終造成 FORCE 代幣被非預期的大量鑄造的問題。 此漏洞發生的主要原因在于 FORCE 代幣的 transferFrom 函數使用了`假充值`寫法，但外部合約在對其進行調用時并未嚴格的判斷其返回值，最終導致這一慘劇的發生。慢霧安全團隊建議在對接此類寫法的代幣時使用 require 對其返回值進行檢查，以避免此問題的發生。[2021/4/4 19:45:30]

綜上所述，NFT聚合平臺將NFT信息集中到一個地方，用戶可以優化他們的購買體驗。在不使用聚合器的情況下，用戶必須單獨訪問各個NFT交易所，注冊信息，查看每個交易所的各自的NFT。不管是對于希望入門NFT世界的愛好者，還是對于NFT領域的分析專家，NFT聚合交易將為用戶打開了一扇通往NFT未來的大門。在未來，隨著Metaverse和鏈游的成熟和發展，將會出現更多游戲內的NFT，動態NFT，甚至可交互的NFT。數字資產交易或將成為人們的剛需，就像是我們日常在網上買賣商品一樣。與此同時，NFT金融化和衍生品市場的蓬勃增長也將促進交易平臺的持續演化。原地址

Tags：NFTFORFORCEORCSHIBANFTvanguardfortressBanana Task Force ApeMoonForce

火星幣