安全可靠的NFT項目 你知道都是如何審計的嗎？_NFT:NFT幣區塊鏈工程專業學什么

NFT項目審計概覽

NFT是英語“NonFungibleToken”的簡稱，翻譯過來即非同質化通證。一個NFT可以被理解為是存儲在區塊鏈上的一個獨一無二的單元數據。每當談及NFT通證，我們會很自然地將其與常見的ERC-20通證進行類比。但NFT通證與ERC-20通證是有區別的，兩者的區別在于任何兩個NFT通證都互不相同，不可互換，即不同質。因此，與NFT相關的操作與ERC-20通證及其它類同質數字資產的操作相比有著明顯的區別。

近年來，以NFT為核心成長出了一個全新的生態，這個生態在2021年發展尤為迅猛。但是在生態快速發展的同時，生態中的安全問題卻頻繁顯現。當業界審視這些安全問題時往往將其與ERC-20通證生態中的安全問題進行類比，但是NFT領域中出現的安全問題卻有自己的特點和差異。然而這些特點和差異卻還沒有系統地受到業界的關注和研究。

關于NFT生態中的安全問題在學術界已經有學者進行了大膽地探索和研究，比如D.Das、P.Bose、N.Ruaro、C.Kruegel和G.Vigna合著的論文。然而在實踐和具體執行過程中，對NFT安全問題該采用什么方式檢視，什么流程審查，什么措施進行防范以及從哪些角度進行防范則缺乏深入的探討和研究。

江蘇：2023年形成3-4個自主安全可控的區塊鏈底層平臺:1月5日消息，江蘇省工信廳、發改委、網信辦等八部門于 1 月 4 日聯合發布《江蘇省數字經濟加速行動實施方案》。在區塊鏈方面，《方案》指出將積極部署支撐有力的創新基礎設施，加快構建區塊鏈平臺體系，建設一批自主安全可控的區塊鏈底層平臺、行業聯盟鏈、基于區塊鏈技術的公共服務平臺，推進區塊鏈 BaaS 平臺部署。到 2023 年，形成 3-4 個自主安全可控的區塊鏈底層平臺，在區塊鏈等領域實施一批關鍵技術攻關項目。大力發展區塊鏈等新興產業，到 2023 年，全省大數據、區塊鏈核心業務收入年均增速達到 15% 以上，實施江蘇省區塊鏈應用推廣行動計劃，形成區塊鏈典型應用示范案例不少于 100 個。[2022/1/5 8:26:23]

Fairyproof研究團隊根據自身積累的專業知識和審計NFT項目中積累的實踐經驗，總結了一套系統、全面的方案，在此欲與業界和關注此領域發展的同仁進行探討和交流。

如果一個項目、應用或服務和NFT交互，則我們視其為NFT項目、NFT應用或NFT服務。如果一個應用或服務和NFT交互，我們則視這個應用或服務是整個NFT生態中的一員。所有這些應用和服務一起就組成了現在我們見到的NFT生態系統。

ETC官方：開發人員正努力尋找安全可行的解決方案:剛剛ETC官方發推稱，想再次提醒交易所、礦池、以及其他服務提供商，大幅度增加交易確認時間，或者暫停所有存款和挖礦交易。開發人員正在努力尋找安全可行的解決方案。[2020/8/6]

在這個生態系統中，根據其中每個成員在技術上扮演的角色，我們將其分為四類：NFT通證部署的區塊鏈、NFT通證的實現合約、實現商業邏輯及流程的核心應用、輔助NFT工作的應用或服務。

對于NFT項目的審計，這四類成員都需要關注和審視。如果NFT部署的區塊鏈不能正常工作，項目就失去了根本；如果NFT通證的實現合約有問題，那NFT就無法正常工作，項目就失去了內核；如果項目的商業邏輯和流程設計有問題，那項目就只剩下毫無生命力的NFT通證；如果輔助NFT工作的應用或服務不能正常工作或者項目沒有選擇合適的輔助應用或服務，則NFT就無法將其潛力充分發揮。

因此這四者的安全和審計缺一不可，都不能忽視。在本文接下來的篇章，我們將對這四者的安全及審計分別展開論述。

陳純：區塊鏈系統需要符合安全可控的標準 全面支持國密算法:金色財經報道，在2020CCF青年精英大會上，浙江大學信息學部主任陳純院士分享目前聯盟鏈的核心技術有五個要點：核心技術一，性能是制約聯盟鏈應用發展的關鍵因素，需要從共識算法、智能合約執行引擎、硬件加速等維度重點突破；核心技術二，安全穩定是區塊鏈運行的基礎，可以通過密碼學算法、硬件加密、安全度量等多方面提升系統安全性。區塊鏈系統需要符合安全可控的標準，全面支持國密算法；核心技術三是隱私保護，商業數據的敏感性要求區塊鏈平臺具備隱私保護能力，需要重點突破賬本數據、交易和身份等方面的隱私保護技術，構建高安全、可驗證、強隱私的隱私保護體系。核心技術四是良好的可擴展性，這對于區塊鏈的易用性、可用性方面具有重要影響，從編程可擴展、存儲可擴展、架構可擴展、鏈間可擴展方面重點突破。核心技術五是可監管，加強區塊鏈智能監管技術研究。[2020/6/5]

對區塊鏈的審計

對于NFT項目所部署的區塊鏈，如果它是一條比較成熟的區塊鏈，則通常情況下，無需再對其進行審計，這一步可以跳過。因為成熟的區塊鏈已經在經年累月的發展和成長中，歷經各種安全事故的挑戰和磨練，在安全上已經有了較為可靠的保障和信用。如果其部署的區塊鏈是新生的，則理論上對區塊鏈的審計是不能忽略的。

動態 | 浙江仙居縣借力區塊鏈打造“省級農產品質量安全可追溯體系縣”:據中國食品安全報消息，浙江省臺州市仙居縣近日召開省級食品安全縣創建攻堅會。全縣以市場為核心，以區塊鏈為技術，針對地產型和輸入型農產品，分別建立產銷對接、批源管控、零售反溯三大追溯體系，溯源覆蓋面達100%。國務院食安辦先后2次考察調研，仙居被認定為“省級農產品質量安全可追溯體系縣”。[2019/1/3]

對區塊鏈的審計在業界已經相對成熟。此類審計的方式、方法、流程及重點和難點已經是包括Fairyproof在內的區塊鏈安全公司比較熟練的業務和領域。對業界和安全公司來說，這類審計并不陌生。

對NFT實現合約的審計

NFT通證的實現，從技術上來講和常見的ERC-20通證類似，都是由一個或多個智能合約組成。但是，由于NFT實現所基于的通證標準和ERC-20同質通證不同，因此NFT通證中可能出現的問題也與ERC-20通證略有不同。這其中一個典型的問題就是NFT的發行功能在實現時是否使用了合適的隨機數。如果使用的隨機數不合適，則NFT在發行時可能遭遇“回滾”攻擊，即用戶可以通過不斷回滾交易，直到獲取自己偏好的NFT。因此對NFT實現合約的審計也和對ERC-20合約的審計略有不同，其主要表現在關注點、重點和難點有所不同。

劉兆彬：區塊鏈為解決食品安全可追溯提供了可能:中國食品安全報6月14日報道，近日，質量與食品安全專家、中國質量萬里行促進會會長劉兆彬表示，區塊鏈的創新為我們解決食品安全的可追溯體系的建立提供了一種可能。要想使區塊鏈能夠在食品安全的追溯體系中起到最佳的作用，必須把互聯網當中的價值網和物聯網、智能網三網融合才能發揮區塊鏈的技術的最大效用。[2018/6/14]

對此，Fairyproof在實踐中系統地總結了經驗，并開發一套自動化的審計工具，能夠快速定位NFT合約中的風險點，排除潛在風險。

對核心商業邏輯應用的審計

這里我們所指的核心商業邏輯應用主要是指在一個NFT項目中，實現商業邏輯的部分。這部分應用會和各類NFT通證交互。

在一個NFT項目中實現商業邏輯的應用通常可分為兩類：

一類是典型的互聯網2.0應用。它在項目中和NFT的交互及實現的商業邏輯比較簡單，通常只涉及一些簡單的NFT操作，比如NFT的發行、NFT的轉賬等。近年極為流行的“PFP”項目就屬于這類。

另一類是包含了互聯網2.0應用和區塊鏈智能合約的綜合應用。這類綜合應用包含的NFT操作要復雜得多，除了簡單的NFT發行和轉賬，還有NFT通證的管理、NFT通證的抵押等。現在NFT生態中最大的應用比如交易平臺就是這類。

盡管這兩類應用在復雜程度上有區別，但它們和基于ERC-20通證的應用相比都展現出一些特有的共性，這些共性也是NFT應用的共性。

這些共性主要表現在：首先NFT應用涉及的鏈上操作不如ERC-20通證應用涉及的鏈上操作復雜；其次很多NFT應用面向的用戶是非技術類人士，這些用戶有些甚至沒有區塊鏈方面的知識，也不了解基于區塊鏈的數字貨幣。

因此為了讓大量非專業領域的用戶在無需具備區塊鏈或數字貨幣知識的情況下毫無障礙地使用和參與NFT項目，很多開發團隊會花費大量的精力和資源來設計和優化用戶界面，使之更符合用戶已經在互聯網2.0應用中建立起來的習慣。這便自然而然地使一些項目在設計和開發的過程中大量沿襲使用互聯網2.0應用的技術和流程。一方面，這降低了用戶的使用門檻，更便于新用戶進入NFT領域；但另一方面，這也使得這些NFT應用有過于中心化的傾向。這種過于中心化的傾向不僅存在于應用的技術實現上，也存在于商業邏輯和流程中。

這里我們想特別強調的是：在現有NFT應用中涉及到商業邏輯和流程的部分可能會存在什么問題、是否有某些未知的隱患等還沒有引起業界尤其是安全領域從業者的足夠關注和研究。比如在目前諸多流行的NFT交易平臺中，KYC還并未被強制要求，更談不上堅決執行，在這種情況下如何防范安全事故及對黑客身份的追蹤、定位；再如對NFT項目“真偽”的驗證在大多數交易平臺上還只是可選項而非必須執行項，在這種情況下如何防止用戶誤入假冒項目；還有對于NFT原創團隊在設定及收取交易分紅方面目前各類平臺所采用的流程和方式是否存在安全上的漏洞和隱患以及是否存在欺詐和不公？......

對上述問題的展開和研究目前都鮮有看到業界提及，更遑論進行深入的探討。

對此Fairyproof一直在進行跟蹤研究和探索，并在這些方面積累和總結了經驗，并研發了一套綜合性的框架和系統，能給NFT領域的從業者提出建設性的意見及切實可行的方案。

對輔助服務或應用的審計

這里所提到的輔助服務或應用是指有助于NFT充分發揮其功能或特色的服務或應用。典型的如為NFT存儲元數據的服務或應用.

興起于2021年的PFP項目就利用了輔助服務或應用。這類典型的NFT項目往往是發行一定恒定數量的NFT，每個NFT都有一個獨一無二的圖片，每個圖片包含各種特征的組合。對每個NFT來說，這個圖片就是它的元數據。

這些圖片往往為了吸引用戶買入和持有都經過精心的設計而獨具特色，因此圖片的保存和顯示對這類NFT項目來說就顯得非常重要。很多項目在設計時都考慮了使用各種方案使圖片能夠盡量永久保存。因此什么樣的服務或應用能夠提供可靠、穩妥的永久存儲就是這些項目方關注的重點。

目前在業界常見的存儲方案主要有去中心化的存儲應用和中心化的存儲應用。前者典型的有IPFS、Arweave等。后者主要有亞馬遜云等。

但是這些存儲方案并非每個都能現成地提供永久存儲，有些可以提供永久存儲但費用較高，有些只能提供按時收費的臨時存儲，各有優缺點。因此如何綜合考慮使用一種或多種方案進行組合，構建一套能夠永久存儲的服務就是項目開發者必須考慮的問題。

但是當項目方考慮使用這些方案時，這些方案本身可能存在什么問題？在組合使用這些方案時可能存在哪些安全上的隱患或者潛在風險？如何規避和防范這些隱患或潛在風險？有關這些問題的討論和研究至今所見相當有限。

Fairyproof自成立伊始便開始關注這個領域的研究和探索，尤其是在安全實踐中可能會存在什么難點和重點等。我們基于自身的積累和實踐，探索、研發了一套系統的方案用來評價和審查NFT輔助服務或應用，并研發、部署了一套全面的流程和系統以檢視這些輔助服務或應用在各類實踐方案中可能存在的安全隱患及潛在風險。

對NFT項目的審計不單單是對NFT智能合約的審計，它是一個系統工程、是一套綜合流程，需要從生態的角度全面審視NFT本身、其核心業務邏輯及所涉及的周邊應用、基礎設施和輔助服務。

Fairyproof一直并將持續、密切地關注NFT生態的發展，持之以恒地深入研究這個領域的安全問題，在已經建立的成熟框架上繼續擴展和探索領域內最新的發展，并繼續和同業分享我們對前沿問題的思考和前瞻判斷。

Tags：NFT區塊鏈數字貨幣NFT價格NFT幣區塊鏈工程專業學什么區塊鏈存證怎么弄區塊鏈技術發展現狀和趨勢十大數字貨幣交易所排名數字貨幣交易所官方網址數字貨幣詐騙案例視頻

Filecoin