Tiêu đề gốc: "Phân tích sự lan truyền lan truyền của xPet trong không gian Web3: Quan điểm bảo mật trên Buzz gần đây"

Tác giả gốc: Beosin

Bản tổng hợp gốc: Luccy, BlockBeats

Lưu ý của biên tập viên:

Gần đây, sự nổi lên của mã thông báo xPET XPET đã gây ra các cuộc thảo luận sôi nổi trong cộng đồng. không chỉ vì lợi ích của việc niêm yết token trên CEX và sự tiến bộ của hợp tác với OKX còn bị ảnh hưởng bởi nội dung của sách trắng được cập nhật chính thức. Vào ngày 28 tháng 12, XPET đạt mức cao mới. Theo dữ liệu thị trường Bitget, XPET đã vượt quá 3 USD, tăng hơn 200% so với giá mở cửa.

Beosin là một công ty bảo mật blockchain đã kiểm toán hơn 3.000 dự án hợp đồng thông minh, với sự trợ giúp từ Ethereum, các chuỗi tương thích EVM, Solana, Near, EOS, aelf và các nền tảng blockchain khác đã phát hiện và sửa chữa nhiều lỗ hổng bảo mật có mức độ rủi ro trung bình và cao. Trong bài viết này, Beosin đã phân tích chuyên sâu về hiện tượng lây lan virus xPET trong lĩnh vực Web3 và kiểm tra các hợp đồng logic cốt lõi, hợp đồng mã thông báo và các rủi ro tiềm ẩn của dự án xPET từ góc độ bảo mật. BlockBeats đã biên soạn văn bản gốc như sau. :

Gần đây, trên nền tảng Twitter, một trò chơi dựa trên blockchain có tên xPET đã nhanh chóng trở nên phổ biến. Một số người mô tả dự án này như một loại "virus Web3" làm tăng nhanh số lượng người theo dõi và người dùng. xPET là một dự án ban đầu kết hợp các yếu tố trò chơi và xã hội và đã thu hút được sự chú ý lớn chỉ sau hai tuần kể từ khi ra mắt. Dự án gần đây đã được chú ý do sự hồi sinh của ngành GameFi và cơ chế độc đáo của xPET, thu hút 2.785 ETH (khoảng 6,5 triệu USD) tiền gửi.

Tuy nhiên, không thể bỏ qua các vấn đề bảo mật liên quan đến nó. Để giúp người dùng hiểu được những rủi ro tiềm ẩn, nhóm bảo mật Beosin sẽ tiến hành phân tích chi tiết cơ chế thiết kế và mã hợp đồng của xPET để phát hiện các lỗ hổng bảo mật hiện có.

phân tích cơ chế xPET

xPET là trò chơi thú cưng được xây dựng trên Arbitrum, kết hợp các yếu tố từ Tipcoin và Fren Pet phổ biến trước đây trên chuỗi Base. Trò chơi liên quan đến việc cho thú cưng ăn để tăng cấp và kiếm tiền. xPET độc đáo ở chỗ nó có dạng plug-in trình duyệt, yêu cầu đăng nhập thông qua xác thực Twitter và cho phép tích hợp hoàn toàn với Twitter trong các nhiệm vụ thưởng trò chơi tiếp theo.

https://www .xPET.tech/

Hiện tại, trò chơi chủ yếu xoay quanh việc cho thú cưng ăn, nâng cấp nhà máy và hoàn thành các nhiệm vụ Twitter để nhận được rương kho báu. Người chơi phải nâng cấp thú cưng của mình lên cấp 7 để sản xuất Berry, thứ có thể chuyển đổi thành BPET để kiếm lợi nhuận. Nâng cấp thú cưng của bạn yêu cầu thanh toán một trong hai mã thông báo xPET, xPET hoặc BPET. Ban đầu, người dùng cần sử dụng ETH làm tài sản thế chấp để vay xPET (có thể hoàn trả 1:1 bằng BPET) hoặc mua xPET từ nhóm giao dịch xPET-ETH. Thiết kế hệ thống kinh tế của trò chơi như dưới đây:

Nguồn: Beosin

Phân tích hợp đồng xPET

Hợp đồng chính của xPET là hợp đồng có thể nâng cấp ERC1967.

Địa chỉ hợp đồng proxy là: 0x1B0D12879960A768D02bd223ef735D4231a15348,

Địa chỉ hợp đồng logic là: 0xcD4420B70e2669De8dE9d62dd7fEa4D19b3207 68 .

Địa chỉ hợp đồng mã thông báo xPET là: 0x00cbcf7b3d37844e44b888bc747bdd75fcf4e555,

$$Địa chỉ hợp đồng mã thông báo XPET Đó là 0x00cbcf7b3d37844e44b888bc747bdd75fcf4e555 và địa chỉ hợp đồng mã thông báo $$BPET là: 0x6daf586b7370b14163171544fca24abcc0862ac5.

Thông qua việc phân tích các công cụ Beosin VaaS và các chuyên gia kiểm tra bảo mật Beosin, các rủi ro bảo mật tiềm ẩn trong các hợp đồng liên quan đến xPET đã được xác định:

https://vaas.beosin.com/

Hợp đồng chính xPET

Hợp đồng chính chịu trách nhiệm xử lý logic cho vay của ETH và xPET. Tuy nhiên, vì hợp đồng chính là hợp đồng có thể nâng cấp và dự án không hiển thị hợp đồng logic trong hợp đồng có thể nâng cấp này nên không thể phát hiện được các lỗi logic hoặc rủi ro tiềm ẩn trong hợp đồng logic.

Trong hợp đồng có thể nâng cấp Về mặt về bảo mật, Beosin đưa ra các đề xuất sau:

Khởi tạo hợp đồng và các phần phụ thuộc Các nhà phát triển có thể bỏ qua hợp đồng và các phần phụ thuộc trong quá trình triển khai. Khởi tạo các phụ thuộc, dẫn đến các lỗ hổng nghiêm trọng.

Giải quyết xung đột địa chỉ lưu trữ, Việc sửa đổi lưu trữ trong quá trình nâng cấp hợp đồng có thể dẫn đến xung đột giữa các phiên bản khác nhau, gây ra lỗi dữ liệu và tổn thất tài chính .

Quyền quản lý, Nhà phát triển nên hạn chế quyền nâng cấp để ngăn chặn kẻ tấn công kiểm soát việc nâng cấp hợp đồng.

Hợp đồng mã thông báo xPET

Hợp đồng mã thông báo xPET kế thừa các hợp đồng ERC20 và AccessControl và tồn tại những rủi ro tiềm ẩn :

Rủi ro tập trung, Hợp đồng này chỉ định người triển khai đóng vai trò quản trị viên, hình thành một điểm kiểm soát tập trung. Việc tấn công tài khoản của người triển khai gây ra rủi ro đáng kể.

Khả năng truy cập mã thông báo, Hợp đồng này tập trung hóa luồng mã thông báo vì tất cả các mã thông báo đều được đúc vào chính hợp đồng đó. Thiết kế này làm cho dòng token được tập trung hóa.

Thiếu chức năng rút tiền và chuyển đổi của các sự kiện sẽ được phát ra khi các hàm này được gọi để theo dõi và theo dõi bên ngoài.

Hợp đồng mã thông báo BPET

Tương tự như Hợp đồng mã thông báo xPET, có một đơn hàng duy nhất trong Hợp đồng mã thông báo BPET không thể bỏ qua Rủi ro điểm:

Rủi ro tập trung, hợp đồng chỉ định người triển khai là quản trị viên và người khai thác, tập trung quyền lực. Việc tấn công địa chỉ của người triển khai có thể dẫn đến rủi ro bảo mật nghiêm trọng.

Tiền đúc không giới hạn

h2>

Chức năng chuyển đổi thiếu giới hạn về số lượng xu có thể được đúc. Nếu người triển khai quyết định đúc quá nhiều token để tìm kiếm lợi nhuận, điều đó có thể khiến giá token giảm đáng kể.

Quản lý vai trò ,Hợp đồng thiếu khả năng thu hồi hoặc chuyển giao vai trò, điều này có thể gây ra các vấn đề bảo mật tiềm ẩn nếu cần chuyển quyền sở hữu hoặc loại bỏ người thực hiện.

Rủi ro khác

Ngoài rủi ro hợp đồng, xPET còn phải đối mặt với spam trên Twitter Thông tin liên quan vấn đề. Vì xPET yêu cầu người dùng đăng bình luận có từ "xPET" trên Twitter để kiếm phần thưởng trò chơi nên một số lượng lớn các bài đăng không liên quan có chứa "xPET" đã xuất hiện khiến nhiều người dùng Twitter không hài lòng.

Thỏa thuận dành cho nhà phát triển của Twitter nghiêm cấm việc sử dụng các sản phẩm dành cho nhà phát triển liên quan đến Twitter để tạo thư rác. Nếu Twitter vô hiệu hóa xPET, trò chơi dựa trên tích hợp Twitter của nó sẽ chấm dứt hoàn toàn.

https://developer.twitter.com/en/developer-terms/policy

Kết luận

Hợp đồng logic cốt lõi của dự án xPET vẫn là mã nguồn đóng và cả hai hợp đồng mã thông báo đều có rủi ro tập trung rõ ràng. Người dùng nên nhận thức được các rủi ro liên quan và tính bảo mật có thể được cải thiện thông qua một số cải tiến về mã hợp đồng. Trước đó, thị trường đã chứng kiến nhiều xu hướng về GameFi và SocialFi. Người dùng nên quản lý tiền của mình một cách khôn ngoan và tham gia một cách hợp lý sau khi hiểu đầy đủ các rủi ro của dự án.

「Liên kết gốc‖

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia