在我们颁布的《2022年上半年Web 3危险态势深度研报》中，我们未经从各个维度展示和综合了区块链危险规模的整体态势。昨天，我们将针对于NFT开约危险睁开综合，瞅瞅在NFT开约在审计流程中都会消失哪些常见成绩呢？
一、上半年NFT规模危险变乱的总受益有几？
据成都链安鹰眼区块链危险态势感知仄台监控再现，2022年上半年，共监测到NFT规模首要危险变乱10起，统计到的受益约为6490万美圆，首要进击体例为开约缺点诈骗、私钥保守、垂钓等。而上半年Discord垂钓变乱频发，几乎每天都有Discord工作器遭到进击，限度用户因面击垂钓链接而蒙受受益的环境稀少发作。
2、上半年NFT样板危险变乱？
TreasureDAO变乱
2022年3月3日，TreasureDAO交难仄台遭到黑客进击，造成100多个NFT 被匪。
平添抚玩：怪事？匪了又了偿？TreasureDAO危险变乱综合
缺点道理：逻辑缺点
该缺点生存于TreasureMarketplaceBuyer开约中，该开约的buyItem函数在传进_quantity参数后，并无干代币范例决断，直接将_quantity取_pricePerItem相乘算计没了totalPrice，所以safeTransferFrom函数不妨在ERC⑵0代币支拨数额惟独0的环境下，调用TreasureMarketplace开约的buyItem函数来停止代币购购。
原次危险变乱首要道理是ERC-1155代币和ERC⑺21代币混用致使的逻辑杂沓，ERC⑺21代币并无数目的观念，可是开约却利用了数目来算计代币购购代价，且最初在代币转账的实现中也未停止逻辑离开。
APE Coin空投变乱
2022年3月17日，黑客通过闪电贷拿到了逾越6万的APE Coin空投。
缺点道理：逻辑缺点
该缺点生存于AirdropGrapesToken空逢迎约中，由于其利用 alpha.balanceOf()和beta.balanceOf()剖断调用者对于BAYC/MAYC NFT的一起权。而这类体例仅能猎取到用户对于该NFT一起权的刹时形态，但该刹时形态不妨通过闪电贷还进停止操控。进击者诈骗该缺点，以闪电贷还没BAYC NFT并猎取对于应的空投。
Revest Finance变乱
2022年3月27日，Revest Finance项纲遭受黑客进击，受益余额12万美圆。
平添抚玩：老调重弹，ERC1155的重进进击又“现身”，Revest Finance被进击变乱简析
缺点道理：ERC-1155重进
该缺点生存于Revest开约中，当用户选用depositAdditionalToFNFT()追加FNFT的抵押物业时，开约必要将先把以前的FNFT焚毁，以后再铸造新的FNFT。可是在铸造时，由于min()函数中未决断需铸造的FNFT是不是未经生存，而且形态变质fnftId自增在_mint()函数后。而_min()中生存ERC-1155中的显藏外部调用_doSafeTransferAcceptanceCheck()，造成为了重进缺点。
NBA薅羊毛变乱
2022年4月21日，NBA项纲圆遭受黑客进击。
缺点道理：出面冒用和复用
该缺点生存于The_Association_Sales开约中，项纲当在选用出面校验的体例考证白名双时，首要生存二个危险成绩：出面冒用和出面复用。此中出面复用成绩是由于项纲圆并未在开约中存储未经利用过的出面，造成出面不妨被进击者重复屡屡利用；出面冒用的成绩是由于vData memory参数info在传参时未停止msg.sender校验致使出面可冒用。
Akutar变乱
2022年4月23日，NFT项纲圆Akutar的AkuAuction开约由于智能开约原身缺点，致使11539ETH（价格约3400万美圆）被锁生在开约中。