安全可靠的NFT項目 你知道都是如何審計的嗎？_NFT

NFT項目審計概覽

NFT是英語“NonFungibleToken”的簡稱，翻譯過來即非同質化通證。一個NFT可以被理解為是存儲在區塊鏈上的一個獨一無二的單元數據。每當談及NFT通證，我們會很自然地將其與常見的ERC-20通證進行類比。但NFT通證與ERC-20通證是有區別的，兩者的區別在于任何兩個NFT通證都互不相同，不可互換，即不同質。因此，與NFT相關的操作與ERC-20通證及其它類同質數字資產的操作相比有著明顯的區別。

近年來，以NFT為核心成長出了一個全新的生態，這個生態在2021年發展尤為迅猛。但是在生態快速發展的同時，生態中的安全問題卻頻繁顯現。當業界審視這些安全問題時往往將其與ERC-20通證生態中的安全問題進行類比，但是NFT領域中出現的安全問題卻有自己的特點和差異。然而這些特點和差異卻還沒有系統地受到業界的關注和研究。

關于NFT生態中的安全問題在學術界已經有學者進行了大膽地探索和研究，比如D.Das、P.Bose、N.Ruaro、C.Kruegel和G.Vigna合著的論文。然而在實踐和具體執行過程中，對NFT安全問題該采用什么方式檢視，什么流程審查，什么措施進行防范以及從哪些角度進行防范則缺乏深入的探討和研究。

Fairyproof研究團隊根據自身積累的專業知識和審計NFT項目中積累的實踐經驗，總結了一套系統、全面的方案，在此欲與業界和關注此領域發展的同仁進行探討和交流。

如果一個項目、應用或服務和NFT交互，則我們視其為NFT項目、NFT應用或NFT服務。如果一個應用或服務和NFT交互，我們則視這個應用或服務是整個NFT生態中的一員。所有這些應用和服務一起就組成了現在我們見到的NFT生態系統。

在這個生態系統中，根據其中每個成員在技術上扮演的角色，我們將其分為四類：NFT通證部署的區塊鏈、NFT通證的實現合約、實現商業邏輯及流程的核心應用、輔助NFT工作的應用或服務。

“東數西算”國家數網：支持超大規模和安全可信的數字人民幣應用部署:金色財經報道，貴陽貴安超互聯新算力基礎設施項目已入選第一批全國一體化算力網絡國家（貴州）樞紐節點重點項目，建成后將支撐構建“東數西算”國家數網體系，首創“鏈網一體”技術體制支持超大規模和安全可信的數字人民幣應用部署，首創“二次數據”經營范式通過超互聯城市算力平臺實現二次數據的確權、流通和交易，轉變為可以量化的數字資產。（貴州日報）[2022/12/7 21:28:08]

對于NFT項目的審計，這四類成員都需要關注和審視。如果NFT部署的區塊鏈不能正常工作，項目就失去了根本；如果NFT通證的實現合約有問題，那NFT就無法正常工作，項目就失去了內核；如果項目的商業邏輯和流程設計有問題，那項目就只剩下毫無生命力的NFT通證；如果輔助NFT工作的應用或服務不能正常工作或者項目沒有選擇合適的輔助應用或服務，則NFT就無法將其潛力充分發揮。

因此這四者的安全和審計缺一不可，都不能忽視。在本文接下來的篇章，我們將對這四者的安全及審計分別展開論述。

對區塊鏈的審計

對于NFT項目所部署的區塊鏈，如果它是一條比較成熟的區塊鏈，則通常情況下，無需再對其進行審計，這一步可以跳過。因為成熟的區塊鏈已經在經年累月的發展和成長中，歷經各種安全事故的挑戰和磨練，在安全上已經有了較為可靠的保障和信用。如果其部署的區塊鏈是新生的，則理論上對區塊鏈的審計是不能忽略的。

對區塊鏈的審計在業界已經相對成熟。此類審計的方式、方法、流程及重點和難點已經是包括Fairyproof在內的區塊鏈安全公司比較熟練的業務和領域。對業界和安全公司來說，這類審計并不陌生。

西門子：啟動區塊鏈工業產品碳足跡安全可信追溯項目:金色財經報道，從十月起，西門子正式將低碳指標納入采購決策過程。西門子稱，其已在成都數字化工廠啟動基于區塊鏈的工業產品碳足跡安全可信追溯項目，利用區塊鏈和邊緣計算等技術，精確追蹤控制器產品全生命周期的碳足跡，實現碳足跡透明化。[2021/9/11 23:17:01]

對NFT實現合約的審計

NFT通證的實現，從技術上來講和常見的ERC-20通證類似，都是由一個或多個智能合約組成。但是，由于NFT實現所基于的通證標準和ERC-20同質通證不同，因此NFT通證中可能出現的問題也與ERC-20通證略有不同。這其中一個典型的問題就是NFT的發行功能在實現時是否使用了合適的隨機數。如果使用的隨機數不合適，則NFT在發行時可能遭遇“回滾”攻擊，即用戶可以通過不斷回滾交易，直到獲取自己偏好的NFT。因此對NFT實現合約的審計也和對ERC-20合約的審計略有不同，其主要表現在關注點、重點和難點有所不同。

對此，Fairyproof在實踐中系統地總結了經驗，并開發一套自動化的審計工具，能夠快速定位NFT合約中的風險點，排除潛在風險。

對核心商業邏輯應用的審計

這里我們所指的核心商業邏輯應用主要是指在一個NFT項目中，實現商業邏輯的部分。這部分應用會和各類NFT通證交互。

在一個NFT項目中實現商業邏輯的應用通常可分為兩類：

一類是典型的互聯網2.0應用。它在項目中和NFT的交互及實現的商業邏輯比較簡單，通常只涉及一些簡單的NFT操作，比如NFT的發行、NFT的轉賬等。近年極為流行的“PFP”項目就屬于這類。

另一類是包含了互聯網2.0應用和區塊鏈智能合約的綜合應用。這類綜合應用包含的NFT操作要復雜得多，除了簡單的NFT發行和轉賬，還有NFT通證的管理、NFT通證的抵押等。現在NFT生態中最大的應用比如交易平臺就是這類。

浙江大學蔡亮：建議大力發展安全可控的區塊鏈平臺:浙江大學區塊鏈研究中心常務副主任蔡亮近日表示，應對發展過程中出現的數據確權、數據安全、隱私保護、流通監管等關鍵問題，建議大力發展安全、自主、可控的區塊鏈技術平臺，積極探索這一技術在改造和提升傳統產業、服務于供應鏈金融、數字身份、慈善捐助等方面的融合應用。（人民日報）[2020/9/11]

盡管這兩類應用在復雜程度上有區別，但它們和基于ERC-20通證的應用相比都展現出一些特有的共性，這些共性也是NFT應用的共性。

這些共性主要表現在：首先NFT應用涉及的鏈上操作不如ERC-20通證應用涉及的鏈上操作復雜；其次很多NFT應用面向的用戶是非技術類人士，這些用戶有些甚至沒有區塊鏈方面的知識，也不了解基于區塊鏈的數字貨幣。

因此為了讓大量非專業領域的用戶在無需具備區塊鏈或數字貨幣知識的情況下毫無障礙地使用和參與NFT項目，很多開發團隊會花費大量的精力和資源來設計和優化用戶界面，使之更符合用戶已經在互聯網2.0應用中建立起來的習慣。這便自然而然地使一些項目在設計和開發的過程中大量沿襲使用互聯網2.0應用的技術和流程。一方面，這降低了用戶的使用門檻，更便于新用戶進入NFT領域；但另一方面，這也使得這些NFT應用有過于中心化的傾向。這種過于中心化的傾向不僅存在于應用的技術實現上，也存在于商業邏輯和流程中。

這里我們想特別強調的是：在現有NFT應用中涉及到商業邏輯和流程的部分可能會存在什么問題、是否有某些未知的隱患等還沒有引起業界尤其是安全領域從業者的足夠關注和研究。比如在目前諸多流行的NFT交易平臺中，KYC還并未被強制要求，更談不上堅決執行，在這種情況下如何防范安全事故及對黑客身份的追蹤、定位；再如對NFT項目“真偽”的驗證在大多數交易平臺上還只是可選項而非必須執行項，在這種情況下如何防止用戶誤入假冒項目；還有對于NFT原創團隊在設定及收取交易分紅方面目前各類平臺所采用的流程和方式是否存在安全上的漏洞和隱患以及是否存在欺詐和不公？......

現場 | 鐘宏：抓住區塊鏈+數字經濟3.0的機會構建安全可控的數權經濟:金色財經報道，11月29日上午，由國研智庫創新科學園、廣州市科學技術協會、區塊鏈產業人才研究所、清華x-lab、粵港澳大灣區區塊鏈聯盟、廣州市區塊鏈產業協會聯合舉辦的“學習習總書記區塊鏈技術重要講話精神暨粵港澳區塊鏈技術與產業創新發展高級研討活動”在廣東科學館報告廳舉行，清華x-lab青藤鏈盟研究院院長、區塊鏈產業智庫專家鐘宏發表“學習習總書記講話精神“區塊鏈+”數字經濟3.0新模式”主題演講，他表示，習總書記講話明確中國特色區塊鏈，要重點推動技術創新發展和社會經濟融合發展。抓住區塊鏈+數字經濟3.0的機會，萬物上鏈，構建安全可控的數權經濟。區塊鏈是建立可信的數權體制，一切權益數據化。區塊鏈是數據經濟生產要素的基礎設施。隨著區塊鏈和數權經濟的到來，區塊鏈要在政務上鏈、依法治國上鏈、存證上鏈上發力。區塊鏈帶來數字經濟3.0增長機遇：治理上鏈、金融上鏈、產業上鏈。[2019/11/29]

對上述問題的展開和研究目前都鮮有看到業界提及，更遑論進行深入的探討。

對此Fairyproof一直在進行跟蹤研究和探索，并在這些方面積累和總結了經驗，并研發了一套綜合性的框架和系統，能給NFT領域的從業者提出建設性的意見及切實可行的方案。

對輔助服務或應用的審計

這里所提到的輔助服務或應用是指有助于NFT充分發揮其功能或特色的服務或應用。典型的如為NFT存儲元數據的服務或應用.?

興起于2021年的PFP項目就利用了輔助服務或應用。這類典型的NFT項目往往是發行一定恒定數量的NFT，每個NFT都有一個獨一無二的圖片，每個圖片包含各種特征的組合。對每個NFT來說，這個圖片就是它的元數據。

這些圖片往往為了吸引用戶買入和持有都經過精心的設計而獨具特色，因此圖片的保存和顯示對這類NFT項目來說就顯得非常重要。很多項目在設計時都考慮了使用各種方案使圖片能夠盡量永久保存。因此什么樣的服務或應用能夠提供可靠、穩妥的永久存儲就是這些項目方關注的重點。

聲音 | BB：比特幣的轉化率和留存率是其安全可靠的原因:Block.one 首席執行官Brendan Blumer（BB）再次發推表示，當人們理解比特幣價值主張的一小部分時，他們就開始投資比特幣。隨著他們了解得越來越多，他們會增加曝光率，成為一名“代言人”。比特幣的轉化率和留存率是它如此安全、如此可靠的原因。[2019/8/12]

目前在業界常見的存儲方案主要有去中心化的存儲應用和中心化的存儲應用。前者典型的有IPFS、Arweave等。后者主要有亞馬遜云等。

但是這些存儲方案并非每個都能現成地提供永久存儲，有些可以提供永久存儲但費用較高，有些只能提供按時收費的臨時存儲，各有優缺點。因此如何綜合考慮使用一種或多種方案進行組合，構建一套能夠永久存儲的服務就是項目開發者必須考慮的問題。

但是當項目方考慮使用這些方案時，這些方案本身可能存在什么問題？在組合使用這些方案時可能存在哪些安全上的隱患或者潛在風險？如何規避和防范這些隱患或潛在風險？有關這些問題的討論和研究至今所見相當有限。

Fairyproof自成立伊始便開始關注這個領域的研究和探索，尤其是在安全實踐中可能會存在什么難點和重點等。我們基于自身的積累和實踐，探索、研發了一套系統的方案用來評價和審查NFT輔助服務或應用，并研發、部署了一套全面的流程和系統以檢視這些輔助服務或應用在各類實踐方案中可能存在的安全隱患及潛在風險。

對NFT項目的審計不單單是對NFT智能合約的審計，它是一個系統工程、是一套綜合流程，需要從生態的角度全面審視NFT本身、其核心業務邏輯及所涉及的周邊應用、基礎設施和輔助服務。

Fairyproof一直并將持續、密切地關注NFT生態的發展，持之以恒地深入研究這個領域的安全問題，在已經建立的成熟框架上繼續擴展和探索領域內最新的發展，并繼續和同業分享我們對前沿問題的思考和前瞻判斷。

參考文獻：

Non-fungibletoken,https://en.wikipedia.org/wiki/Non-fungible_token,Feb22,2022

ERC-20TokenStandard,https://ethereum.org/en/developers/docs/standards/tokens/erc-20/

UnderstandingSecurityIssuesintheNFTEcosystem,https://arxiv.org/abs/2111.08893,Jan19,2022

ERC-721Non-fungibleTokenStandard,

https://ethereum.org/en/developers/docs/standards/tokens/erc-721/

EIP-1155:MultiTokenStandard,https://eips.ethereum.org/EIPS/eip-1155?

ABeginner’sGuidetoUnderstandingPFPNFTs,

https://medium.com/geekculture/a-beginners-guide-to-understanding-pfp-nfts-8714e9d30d0b,August29,2021

CryptoPunks,https://www.larvalabs.com/cryptopunks

BAYC,https://boredapeyachtclub.com/#/

OpenSea,https://opensea.io/

Rarible,https://rarible.com/

Curve,https://curve.fi/

MakerDAO,https://makerdao.com/

NiftyGateway,https://niftygateway.com/

metadata,https://csrc.nist.gov/glossary/term/metadata

IPFS,https://ipfs.io/

Arweave,https://www.arweave.org/

AWS,https://aws.amazon.com/

Abouttheauthor:

YuefeiTAN,CEOofFairyproof

AboutFairyproof:

FairyproofTechisablockchainsecuritycompany,establishedinJan2021.

Itwasfoundedbyateamwithrichexperienceinsmartcontractprogrammingandnetworksecurity.TheteammembersparticipatedininitiatinganumberofdraftstandardsintheEthereumfield,includingERC-1646,ERC-2569,ERC-2794,andEIP-3712,ofwhichERC-2569wasofficiallyacceptedbytheEthereumteam.

TheteamparticipatedinthelaunchanddevelopmentofvariousEthereumprojects,includingblockchainplatforms,DAOorganizations,on-chaindatastorage,decentralizedexchanges,andconductedsecurityauditsofmultipleprojectswhichhavebeendeployedonEthereum.BasedonitsstrongR&Dcapabilityanddeepunderstandingofsmartcontractsecurity,Fairyproofhasdevelopedcomprehensivevulnerabilitytrackingandsecuritysystemsandtools.

FairyproofTechservesandworkscloselywithcustomersbyprovidingsystematicsolutionscoveringboth“codevulnerabilities”and“logicvulnerabilities”andaimstoprovidecustomerswiththebestandmostprofessionalservices.

Tags：NFT區塊鏈ANDTPSANFT價格區塊鏈域名誰在管理The Sandboxtps幣行情

USDC