GameFi项目面临的安全挑战大致可以归类为链上和链下问题。
链上安全挑战主要涉及ERC-20Tokens和NFT的管理、跨链桥的安全以及Decentralization自治组织(DAO)的治理。
而链下挑战则通常与网络接口和服务器有关。
GameFi项目应优先考虑安全防护措施,例如严格审计、漏洞扫描和渗透测试,并实施最佳运营实践和业务控制。
导语
GameFi将區塊鏈技术与游戏相结合,创建出以游戏内资产和数字貨幣为特色的Decentralization平台。它通常采用边玩边赚(P2E)模式,让玩家可以获得加密貨幣奖励。GameFi还能赋予游戏玩家真正的所有权和对游戏内资产的完全控制权。
尽管GameFi越来越受欢迎,但它在整个生命周期中都会面临来自黑客的持续而严重的威胁。有些项目可能更看重速度(而不是质量),因此缺乏健全的安全预防措施,这往往会使社区和创作者都面临重大损失的风险。
为什么GameFi安全很重要?
GameFi在2021年经历了可观的增长,其P2E模式为玩家提供了新的游戏内增收机会。2022年,边动边赚(move-to-earn)进一步凸显了GameFi的增长潜力。GameFi是2022年加密貨幣的头部行业,约占行业总资金的9.5%,同比增长超过118%。
GameFi与传统游戏不同,因为用户面临的风险更大,任何黑客攻击都可能会带来重大损失。在极端情况下,安全漏洞可能会导致项目终止。
例如,2022年,攻击者利用远程过程调用(RPC)Node中的后门,获取GameFi项目Axie Infinity的签名,从而可以进行未经授权的提款,盗走了总额近6亿美元的ETH。GameFi项目中的任何漏洞都可能给投资者和玩家造成巨大损失,这更凸显了GameFi安全的至关重要。
链上安全挑战
ERC-20Tokens漏洞
在GameFi项目中,ERC-20Tokens经常用作游戏内购买的虚拟貨幣、玩家奖励机制和交换手段。
ERC-20Tokens的铸造和管理不当可能会带来安全风险。在铸造过程中可能会出现一种称为“可重入性”的常见漏洞。攻击者可以利用合约中的逻辑漏洞,重复执行特定功能,从而无限铸造Tokens。
作为通用的游戏内貨幣,ERC-20Tokens的稳定性和数量决定了游戏的可玩性和可持续性。因此,项目应保证代码逻辑并严格控制ERC-20Tokens的总供应量。
P2E GameFi项目DeFi Kingdoms就在2022年遭到了恶意ERC-20铸币的攻击。一些玩家利用逻辑漏洞铸造了游戏的锁定原生Tokens,导致Tokens价格随后暴跌。
NFT漏洞
NFT主要用作GameFi项目中的游戏内虚拟资产,包括装备、道具和纪念品。它们可为玩家提供明确的所有权,并可以通过控制通货膨胀和稀缺来维持稳定的价值。但是,不当使用NFT可能会引入安全漏洞。
装备或道具的稀有度会反映在NFT的价值上,玩家通常会寻找最稀有的NFT。在NFT铸造过程中,诸如时间戳之类的区块相关信息可能被用作生成不同稀有度级别的NFT的弱随机来源。矿工可以在某种程度上操纵区块时间戳,从而恶意铸造更罕见的NFT。
即使是可靠的随机性来源,例如Chainlink VRF(可验证随机函数),也不能消除所有风险。恶意用户可以在铸造出不需要的NFTTokensID时撤消操作,然后一直重复该过程,直到铸造出稀有的NFT。
当玩家交易和转移NFT时,可能会出现潜在的智能合约漏洞。例如,函数safeTransfrom ()是用于转移ERC-721 NFT。当接收方是合约地址时,将触发函数onerc721Reaceived ()进行回调。还有重入攻击的潜在风险,攻击者可以在erc721Reaceived ()上决定函数中的逻辑。
ERC-1155 NFT中也有这种风险,即函数safeTransform ()触发函数onerc1155Received ()并允许攻击者进行重入攻击。
跨链桥漏洞
GameFi中会使用跨链桥来允许用户通过不同的网络交换游戏内资产。它们对于增强GameFi的体验和流动性也至关重要。
GameFi中跨链桥的一个主要风险来自游戏内资产之间的不一致。跨链桥两边的合约应保证接受和销毁的资产数量相同。但是,由于合约的验证和结账存在漏洞,攻击者就可以入侵合约,凭空创建大量资产。
DAO治理漏洞
许多GameFi项目都由DAO管理,如果大多数治理Tokens归少数大型参与者所有,这可能会带来中心化风险。定义DAO治理规则的智能合约为潜在的风险开辟了另一个豁口,因为攻击者可以找到访问DAO库的方法。
链下安全挑战
大多数GameFi项目的的后端运维、网络接口或移动应用仍然依赖链下中心化服务器。这些服务器会存储关键信息,包括游戏数据和所有者账户,它们容易受到渗透和木马恶意软件等恶意攻击。
NFT的元数据包含重要的描述性信息,并作为JSON文件存储在链外。但是,许多GameFi项目将其NFT元数据存储在自己的中心化服务器上,而不是使用IPFS等Decentralization基础设施。这增加了相关方或攻击者篡改元数据的可能性,从而可能会侵犯玩家的权利。
在使用跨链桥的情况下,攻击者可以通过渗透或网络钓鱼攻击获取验证者的签名或私钥。他们可以破坏基础架构并利用漏洞来控制游戏内资产。
在数据传输过程中,攻击者可能会劫持网络数据包并注入恶意代码。通过修改数据包,攻击者可以实现虚假充值,并篡改单位购买金额获得更多游戏道具。
前端接口也为攻击者提供了另一种恶意渗透系统的途径。如果某款游戏的排行榜出现信息泄露,攻击者可以将泄露的地址相关信息发送到服务器,以获取相应的敏感信息。
如何提高安全性
要保护GameFi项目,一定要在每个阶段都要谨慎行事。确保完美无缺的智能合约代码是GameFi项目成功的基础——这涉及编写高质量的代码、进行定期审计以及使用正式的智能合约验证。
维护服务器和其他基础架构组件的安全性也至关重要;应该进行渗透测试,及时检测可能的漏洞。使用DApp和基于區塊鏈的系统进行渗透测试时,可以利用Web3功能。因此,必须对数字钱包和Decentralization协议采取特定的预防措施。
GameFi项目还应遵循其他最佳实践,包括安全的运行时流程和完整的应急响应。前者涉及监控触发的安全事件、强化环境安全以及发布漏洞赏金计划。
同时,项目必须制定完整的应急响应流程,包括止损处置、攻击跟踪和问题分析等方面。
本文转自币安学院
结语
GameFi的安全漏洞其实不局限于本文中提到的漏洞,许多事件表明,很多项目都忽略或淡化了安全风险。GameFi是未来游戏业态的重要组成部分。因此,各个项目应始终关注安全问题,将社区的利益放在首位。