オープンソースライブラリの欠陥により複数のNFTコレクションが危険にさらされる
Web3 スペース全体に共通するオープンソース ライブラリの脆弱性は、事前構築されたスマート コントラクトのセキュリティに影響を及ぼし、Coinbase を含む複数の NFT コレクションに影響を与えます。
この開示は本日初めに Web3 開発 プラットフォーム Thirdweb から行われました。この発表では最小限の詳細が示されており、契約を保護するために役立つ説明を求めていた一部のユーザーを不快にさせた。
サードウェブ 同社は、11月20日にセキュリティ上の欠陥を認識し、その2日後に修復を進めたと述べたが、攻撃者の情報漏洩を防ぐため、ライブラリの名前や脆弱性の種類や重大度については明らかにしなかった。 。
同社によれば、-nbsp;脆弱なライブラリの管理者に連絡し、また他のプロトコルや組織にもこの問題について警告し、調査結果と軽減策を共有しました。
次のスマート コントラクトがこの欠陥の影響を受けます。
AirdropERC20 (v1.0.3 以降)、ERC721 (v1.0.4 以降)、ERC1155 (v1.0.4 以降) ERC20Claimable、ERC721Claimable、ERC1155Claimable
BurnToClaimDropERC721 (すべてのバージョン)
DropERC20、ERC721、ERC1155 (すべてのバージョン)
ポイントカード
MarketplaceV3 (すべてのバージョン)
マルチラップ、Multiwrap_OSRoyaltyFilter
OpenEditionERC721 (v1.0.0 以降)
Pack と Pack_OSRoyaltyFilter
TieredDrop (すべてのバージョン)
TokenERC20、ECRC721、ERC1155 (すべてのバージョン)
SignatureDrop、SignatureDrop_OSRoyaltyFilter
スプリット (低衝撃)
TokenStake、NFTStake、EditionStake (すべてのバージョン)
「Solidity SDKを使用して基本契約を拡張したり、カスタム契約を構築した場合、脆弱性が契約にまで及ぶとは考えていません」とThirdwebは説明し、「個々の契約を監査できないため、これは保証ではない」と付け加えた。」
Thirdweb は、悪用の詳細を影響を受けるライブラリの管理者と共有しており、この脆弱性が攻撃に悪用されているのは確認されていないと述べています。
透明性の欠如にユーザーが動揺
詳細が欠如しているため、一部のユーザーは説明を求めたり、 と要求したりしました。 問題はライブラリの Thirdweb 実装にあると推測します。
あるユーザーは、透明性の欠如について不満を述べ、脆弱性の CVE (Common Vulnerabilities and Exposures) 識別子と緩和策の仕組みの説明を求めました。
出典：ヌリ
脆弱な契約をロックする
Thirdwebは、スマートコントラクトの所有者は、2023年11月22日午後7時（太平洋時間）より前に作成されたすべての構築済みコントラクトに対して直ちに緩和措置を講じる必要があると述べた。
アドバイスとしては、脆弱なコントラクトをロックし、スナップショットを取得し、それを脆弱性のないバージョンのライブラリで作成された新しいコントラクトに移行することです。影響を受ける契約を軽減する方法に関する専用のツールとチュートリアルは次のとおりです。ここで提供されます。
Thirdweb は、契約の緩和をカバーするために遡及的なガス補助金を提供すると述べました しかし、ユーザーはそうする必要があります 承認を受けるには、 フォームに記入してください。
当然のことながら、この警告は貴重なNFTの保有者に不安を引き起こしており、大手のNFT取引プラットフォームはすでにこの状況に対応しています。
月曜日の発表では、 Coinbase NFT は 先週の金曜日にこの脆弱性を知り、Thirdweb で作成されたコレクションの一部に影響を与えたと述べました。
「Coinbase それ自体はこの問題の影響を受けておらず、Coinbase上のすべての資金は安全です」と仮想通貨取引所プラットフォームは付け加えた。
スマート コントラクト開発用の OpenZeppelin ライブラリの管理者には、Thirdweb の DropERC20、ERC721、ERC1155 (すべてのバージョン)、および AirdropERC20 事前構築コントラクトのバージョンに影響を与える問題についても通知されました。
「私たちの調査によると、この問題は特定のパターンの問題のある統合に固有のものであり、OpenZeppelin Contracts ライブラリに含まれる実装に特有のものではありません。」 - オープンツェッペリン
Animoca BrandsエコシステムのメンバーシップNFTコレクションであるMocaverseも、資産が安全であり、「関連するセキュリティの脆弱性を解決するために、Mocaverse NFT、LuckyNeko、およびMocaverse Relicコレクションのスマートコントラクトをアップグレードすることに成功した」とユーザーに更新しました。
火曜日、モカバースは可能な限りすべての緩和措置を講じた後、Animoca Brands の子会社に潜在的なリスクを通知し、ユーザーの資産の安全のために必要な措置を講じるよう指示しました。
「レルムチケットや名誉コレクションを含む、アップグレードできない契約については、関連する契約をロックし、すべてのデータのスナップショットを取得し、その後、元の所有者がサードウェブベースの以前の保有に基づいてNFTを請求できるようにします既知の脆弱性のない新しいスマート コントラクトについて」 - モカバース
同様に、OpenSea には は、関連するリスクを軽減し、影響を受けるユーザーを支援する計画を立てるためにサードウェブと緊密に連携していることを発表しました。
