Können NFT-Smart-Verträge gehackt werden?

Direkte Ausbeutungswege

1. Wiedereintrittsangriffe gehören nach wie vor zu den häufigsten Vektoren in NFT-Smart-Verträgen, insbesondere bei ERC-721- und ERC-1155-Implementierungen ohne Wiedereintrittsschutz. Angreifer nutzen Rückrufmechanismen während der Token-Übertragung aus, um Geld abzuschöpfen, bevor die Zustandsaktualisierungen abgeschlossen sind.

2. Riskante veränderbare Proxy-Muster ermöglichen unbefugte Upgrades oder Funktionsüberschreibungen, wenn die Eigentumskontrolle falsch konfiguriert ist. Ein einziger kompromittierter Administratorschlüssel kann die Kernlogik für Tausende bereitgestellter Verträge neu schreiben.

3. Unlimited Minting-Schwachstellen entstehen durch unzureichende Durchsetzung der Obergrenzen oder fehlende Zugriffsbeschränkungen für Mint-Funktionen. In mehreren aufsehenerregenden Vorfällen lösten Angreifer durch Manipulation interner Zähler oder Umgehung von Whitelist-Prüfungen ein unendliches Minting aus.

4. Öffentliche Brennfunktionen ohne ordnungsgemäße Autorisierungsprüfungen ermöglichen es böswilligen Akteuren, legitime Token zu zerstören oder Angebotskennzahlen zu manipulieren, was sich direkt auf Mindestpreise und Marktstimmung auswirkt.

5. Fehlende Anforderungsvalidierungen – wie fehlende Adress-Null-Prüfungen, ungeprüfte externe Anrufe oder ungeprüfte Signaturschemata – schaffen Möglichkeiten für gefälschte Transaktionen und gefälschte Genehmigungen.

Menschenzentrierte Angriffsvektoren

1. Phishing-Domänen, die offizielle NFT-Marktplatzschnittstellen nachahmen, verleiten Benutzer dazu, böswillige Transaktionsanfragen zu signieren, die willkürliche Vertragsinteraktionen genehmigen.

2. Gefälschte Airdrop-Verträge locken Opfer mit dem Versprechen kostenloser NFTs, die eine Wallet-Verbindung und die anschließende Genehmigung gefährlicher Berechtigungen wie setApprovalForAll erfordern.

3. Schädliche NFT-Mints, die eingebettete ausführbare Logik enthalten – wie versteckte Fallback-Funktionen oder Selbstzerstörungsauslöser – werden bei Interaktion mit der Brieftasche oder bei der Initiierung einer Übertragung aktiviert.

4. Kompromittierte Discord- oder Telegram-Kanäle verbreiten gefälschte Links, die zu betrügerischen Mint-Seiten führen, auf denen Benutzersignaturen für spätere Replay-Angriffe gesammelt werden.

5. Social-Engineering-Taktiken zwingen Benutzer unter dem Vorwand der „Unterstützungsüberprüfung“ oder „Unterstützung bei der Wiederherstellung der Brieftasche“ dazu, private Schlüssel preiszugeben.

Einschränkungen der automatischen Erkennung

1. Statische Analysetools übersehen häufig kontextabhängige Schwachstellen, die mit bestimmten Bereitstellungsparametern oder kettenspezifischen Verhaltensweisen wie Gasoptimierungen verbunden sind, die sich auf den Ausführungsfluss auswirken.

2. Die symbolische Ausführung leidet unter einer Pfadexplosion, wenn die komplexe NFT-Lizenzgebührenverteilungslogik analysiert wird, die mehrere bedingte Verzweigungen und externe Abhängigkeiten umfasst.

3. Auf historischen Codebeispielen trainierte Black-Box-Modelle für maschinelles Lernen lassen sich nicht gegen neuartige Verschleierungstechniken verallgemeinern, die in neu eingesetzten Verträgen verwendet werden.

4. Manuelle Prüfungen bleiben aufgrund semantischer Lücken zwischen Codestruktur und Geschäftslogikabsicht unverzichtbar – insbesondere bei dynamischen Preismechanismen oder kettenübergreifender Überbrückungslogik.

5. SHAP-basierte erklärbare Modelle erreichen eine durchschnittliche Erkennungsgenauigkeit von 90,36 % über vier Schwachstellenklassen hinweg, zeigen jedoch eine verringerte Präzision auf zusammengesetzten Angriffsflächen, die mehrere Schwachstellentypen kombinieren.

Historische Muster von Verstößen

1. Der APE-Coin-Airdrop-Vorfall beinhaltete die Wiederverwendung von Signaturen in mehreren Kontexten, was es Angreifern ermöglichte, Zuteilungen außerhalb der vorgesehenen Berechtigungsfenster zu beanspruchen.

2. NBA Top Shot-Exploits nutzten die schwache Nonce-Validierung in Off-Chain-Signatursystemen und ermöglichten so die doppelte Einlösung von Momenten in limitierter Auflage.

3. Diebstähle im Zusammenhang mit dem Bored Ape Yacht Club gingen häufig auf kompromittierte MetaMask-Sitzungen zurück, bei denen Benutzer setApprovalForAll für nicht vertrauenswürdige Marktplätze gewährten, die nun aus der Liste genommen oder umgewidmet wurden.

4. Die Frontends des CryptoPunks-Marktplatzes wurden durch DNS-Poisoning gekapert und Benutzer auf gefälschte dApps umgeleitet, die Wallet-Autorisierungen erfassten, bevor sie den Handel abschlossen.

5. Über 27 Milliarden US-Dollar an Verlusten durch NFT- und Krypto-Betrug (Stand März 2025), wobei mehr als 60 % auf benutzerseitigen Autorisierungsmissbrauch und nicht auf direkte Vertragsausnutzung zurückzuführen sind.

Häufig gestellte Fragen

F: Kann ein NFT gestohlen werden, ohne seinen Smart Contract zu berühren? A: Ja. Diebstahl erfolgt häufig durch Wallet-Kompromittierung, Phishing oder böswillige Genehmigungen – nicht durch Fehler im Vertragscode.

F: Garantiert die Überprüfung eines Vertrags auf Etherscan, dass er sicher ist? A: Nein. Die Überprüfung bestätigt nur, dass der Quellcode mit dem Bytecode übereinstimmt. Es bescheinigt nicht die Korrektheit, die logische Integrität oder das Fehlen von Hintertüren.

F: Warum werden einige NFT-Projekte trotz Prüfungen wiederholt gehackt? A: Audits decken nur die Version ab, die zum Zeitpunkt der Überprüfung eingereicht wurde. Nachfolgende Upgrades, Änderungen der Proxy-Logik oder Integrationen von Drittanbietern führen zu neuen Risikooberflächen.

F: Sind NFTs auf Layer-2-Ketten von Natur aus sicherer als das Ethereum-Mainnet? A: Sicherheit hängt von der Implementierungsqualität ab, nicht nur von der Ebene. Viele L2-Brücken und Sequenzer-Logik haben einzigartige Angriffsvektoren eingeführt, die im Mainnet nicht vorhanden sind.