GameFi有哪些常見的安全問題？

• 2023年11月02日 19:41

GameFi項目面臨的安全挑戰大致可以歸類為鏈上和鏈下問題。

鏈上安全挑戰主要涉及ERC-20Tokens和NFT的管理、跨鏈橋的安全以及Decentralization自治組織(DAO)的治理。

而鏈下挑戰則通常與網絡接口和服務器有關。

GameFi項目應優先考慮安全防護措施，例如嚴格審計、漏洞掃描和滲透測試，并實施最佳運營實踐和業務控制。

導語 

GameFi將區塊鏈技術與游戲相結合，創建出以游戲內資產和數字貨幣為特色的Decentralization平臺。它通常采用邊玩邊賺(P2E)模式，讓玩家可以獲得加密貨幣獎勵。GameFi還能賦予游戲玩家真正的所有權和對游戲內資產的完全控制權。

盡管GameFi越來越受歡迎，但它在整個生命周期中都會面臨來自黑客的持續而嚴重的威脅。有些項目可能更看重速度（而不是質量），因此缺乏健全的安全預防措施，這往往會使社區和創作者都面臨重大損失的風險。

為什么GameFi安全很重要？

GameFi在2021年經歷了可觀的增長，其P2E模式為玩家提供了新的游戲內增收機會。2022年，邊動邊賺(move-to-earn)進一步凸顯了GameFi的增長潛力。GameFi是2022年加密貨幣的頭部行業，約占行業總資金的9.5%，同比增長超過118%。

GameFi與傳統游戲不同，因為用戶面臨的風險更大，任何黑客攻擊都可能會帶來重大損失。在極端情況下，安全漏洞可能會導致項目終止。

例如，2022年，攻擊者利用遠程過程調用(RPC)Node中的后門，獲取GameFi項目Axie Infinity的簽名，從而可以進行未經授權的提款，盜走了總額近6億美元的ETH。GameFi項目中的任何漏洞都可能給投資者和玩家造成巨大損失，這更凸顯了GameFi安全的至關重要。

鏈上安全挑戰

ERC-20Tokens漏洞

在GameFi項目中，ERC-20Tokens經常用作游戲內購買的虛擬貨幣、玩家獎勵機制和交換手段。

ERC-20Tokens的鑄造和管理不當可能會帶來安全風險。在鑄造過程中可能會出現一種稱為“可重入性”的常見漏洞。攻擊者可以利用合約中的邏輯漏洞，重復執行特定功能，從而無限鑄造Tokens。

作為通用的游戲內貨幣，ERC-20Tokens的穩定性和數量決定了游戲的可玩性和可持續性。因此，項目應保證代碼邏輯并嚴格控制ERC-20Tokens的總供應量。

P2E GameFi項目DeFi Kingdoms就在2022年遭到了惡意ERC-20鑄幣的攻擊。一些玩家利用邏輯漏洞鑄造了游戲的鎖定原生Tokens，導致Tokens價格隨后暴跌。

NFT漏洞

NFT主要用作GameFi項目中的游戲內虛擬資產，包括裝備、道具和紀念品。它們可為玩家提供明確的所有權，并可以通過控制通貨膨脹和稀缺來維持穩定的價值。但是，不當使用NFT可能會引入安全漏洞。

裝備或道具的稀有度會反映在NFT的價值上，玩家通常會尋找最稀有的NFT。在NFT鑄造過程中，諸如時間戳之類的區塊相關信息可能被用作生成不同稀有度級別的NFT的弱隨機來源。礦工可以在某種程度上操縱區塊時間戳，從而惡意鑄造更罕見的NFT。

即使是可靠的隨機性來源，例如Chainlink VRF（可驗證隨機函數），也不能消除所有風險。惡意用戶可以在鑄造出不需要的NFTTokensID時撤消操作，然后一直重復該過程，直到鑄造出稀有的NFT。

當玩家交易和轉移NFT時，可能會出現潛在的智能合約漏洞。例如，函數safeTransfrom ()是用于轉移ERC-721 NFT。當接收方是合約地址時，將觸發函數onerc721Reaceived ()進行回調。還有重入攻擊的潛在風險，攻擊者可以在erc721Reaceived ()上決定函數中的邏輯。 

ERC-1155 NFT中也有這種風險，即函數safeTransform ()觸發函數onerc1155Received ()并允許攻擊者進行重入攻擊。

跨鏈橋漏洞 

GameFi中會使用跨鏈橋來允許用戶通過不同的網絡交換游戲內資產。它們對于增強GameFi的體驗和流動性也至關重要。

GameFi中跨鏈橋的一個主要風險來自游戲內資產之間的不一致。跨鏈橋兩邊的合約應保證接受和銷毀的資產數量相同。但是，由于合約的驗證和結賬存在漏洞，攻擊者就可以入侵合約，憑空創建大量資產。

DAO治理漏洞

許多GameFi項目都由DAO管理，如果大多數治理Tokens歸少數大型參與者所有，這可能會帶來中心化風險。定義DAO治理規則的智能合約為潛在的風險開辟了另一個豁口，因為攻擊者可以找到訪問DAO庫的方法。

鏈下安全挑戰

大多數GameFi項目的的后端運維、網絡接口或移動應用仍然依賴鏈下中心化服務器。這些服務器會存儲關鍵信息，包括游戲數據和所有者賬戶，它們容易受到滲透和木馬惡意軟件等惡意攻擊。

NFT的元數據包含重要的描述性信息，并作為JSON文件存儲在鏈外。但是，許多GameFi項目將其NFT元數據存儲在自己的中心化服務器上，而不是使用IPFS等Decentralization基礎設施。這增加了相關方或攻擊者篡改元數據的可能性，從而可能會侵犯玩家的權利。

在使用跨鏈橋的情況下，攻擊者可以通過滲透或網絡釣魚攻擊獲取驗證者的簽名或私鑰。他們可以破壞基礎架構并利用漏洞來控制游戲內資產。

在數據傳輸過程中，攻擊者可能會劫持網絡數據包并注入惡意代碼。通過修改數據包，攻擊者可以實現虛假充值，并篡改單位購買金額獲得更多游戲道具。

前端接口也為攻擊者提供了另一種惡意滲透系統的途徑。如果某款游戲的排行榜出現信息泄露，攻擊者可以將泄露的地址相關信息發送到服務器，以獲取相應的敏感信息。

如何提高安全性

要保護GameFi項目，一定要在每個階段都要謹慎行事。確保完美無缺的智能合約代碼是GameFi項目成功的基礎——這涉及編寫高質量的代碼、進行定期審計以及使用正式的智能合約驗證。

維護服務器和其他基礎架構組件的安全性也至關重要；應該進行滲透測試，及時檢測可能的漏洞。使用DApp和基于區塊鏈的系統進行滲透測試時，可以利用Web3功能。因此，必須對數字錢包和Decentralization協議采取特定的預防措施。

GameFi項目還應遵循其他最佳實踐，包括安全的運行時流程和完整的應急響應。前者涉及監控觸發的安全事件、強化環境安全以及發布漏洞賞金計劃。

同時，項目必須制定完整的應急響應流程，包括止損處置、攻擊跟蹤和問題分析等方面。

本文轉自幣安學院

結語

GameFi的安全漏洞其實不局限于本文中提到的漏洞，許多事件表明，很多項目都忽略或淡化了安全風險。GameFi是未來游戲業態的重要組成部分。因此，各個項目應始終關注安全問題，將社區的利益放在首位。

免責聲明:GameFi有哪些常見的安全問題？文章轉發自互聯網，版權歸其所有。
文章內容不代表本站立場和任何投資暗示。加密貨幣市場極其波動，風險很高，可能不適合所有投資者。在投資加密貨幣之前，請確保自己充分了解市場和投資的風險，并考慮自己的財務狀況和風險承受能力。此外，請遵循您所在國家的法律法規，以及遵守交易所和錢包提供商的規定。對于任何因使用加密貨幣所造成的投資損失或其他損失，本站不承擔任何責任。