NFT セキュリティガイド: 詐欺を回避し、資産を保護する方法。

NFT ウォレットの脆弱性を理解する

1. 暗号化されていないテキスト ファイルに秘密キーを保存すると、ファイルにアクセスできるすべてのユーザーに完全な資産管理が公開されます。

2. 複数のプラットフォームでパスワードを再利用すると、NFT マーケットプレイスを標的としたクレデンシャル スタッフィング攻撃のリスクが高まります。

3. 過剰な権限を持つブラウザ拡張機能は、ウォレット署名リクエストを傍受し、攻撃者が制御するアドレスにトランザクションをリダイレクトする可能性があります。

4. MetaMask または Phantom のログイン インターフェイスを模倣したフィッシング サイトは、ユーザーをだまして悪意のある契約の承認を承認させます。

5. 署名プロンプト中にハードウェアウォレットが切断されると、ユーザーはリスクシフトに気付かずに、安全でない代替ソフトウェアに頼ってしまう可能性があります。

NFTプロジェクトにおけるスマートコントラクトのリスク

1. 未監査の契約には、攻撃者がロイヤルティ メカニズムやミント機能を使い果たすことを可能にするリエントランシーの脆弱性が含まれていることがよくあります。

2. ERC-6551 トークンバインドされたアカウントに埋め込まれた悪意のある転送フックは、所有権の変更時に不正な資産の移動を引き起こす可能性があります。

3. アップグレード可能な契約内のハードコーディングされた所有者アドレスにより、集中管理されたエンティティはメタデータとミント パラメータを一方的に制御できます。

4. mint 関数のガス推定値が膨らむと、単純なトークンの作成を超えて追加の状態変更を実行する隠れたロジックがわかりにくくなります。

5. 「emergencyPause」とラベル付けされた機能には、タイムロックやマルチシグ保護機能が欠如していることが多く、予告なしにすべてのユーザー資産が即座に凍結される可能性があります。

市場固有の脅威ベクトル

1. OpenSea 上の偽のコレクション リストは、正規のプロジェクトと同一に見えますが、検出を回避するために契約名に同形異義語の文字を使用しています。

2. 入札スナイピングボットは保留中のオファーを監視し、確認前に過小評価されている資産を捕捉するために、ガス料金を引き上げた高額の取引を送信します。

3. 集中サーバー上でオフチェーンのメタデータをホスティングすることで、プロジェクト所有者は、作成後に画像ハッシュを悪意のあるコンテンツにサイレントに置き換えることができます。

4.クリエイターのアドレスへの直接 ETH 送金によるロイヤルティの強制バイパスにより、プラットフォーム レベルの料金徴収が回避され、アーティストは補償を受けられなくなります。

5. 署名検証が不十分なクロスチェーン ブリッジ統合により、ネットワーク全体で希少なトークンを複製するクロスチェーン ミント イベントの偽造が許可されます。

フィッシングとソーシャル エンジニアリングの戦術

1. Discord のなりすまし者は、検証済みのバッジを使用してサーバー構造のクローンを作成し、ウォレット接続を必要とする偽のエアドロップ請求ポータルをホストします。

2. 侵害された知名度の高いアカウントからの Twitter DM は、希少性アナライザーを装ったウォレット ドレイナー スクリプトにつながる短縮リンクを配信します。

3. 公式に見える電子メール テンプレートを通じて生成された偽のサポート チケットは、緊急性を理由にシード フレーズの検証を要求します。

4. 「ホワイトリストスポット」を宣伝する電報グループは、返金メカニズムのない非契約アドレスへのETHの前払いを要求します。

5. ビデオ通話詐欺は、ウォレット回復のスペシャリストを装い、画面共有セッションを介して秘密キーを公開するよう被害者を誘導します。

よくある質問

Q: NFT 契約が監査されているかどうかを確認できますか? A: はい。 Etherscan で、契約の「契約」タブにリンクされている監査レポートを確認してください。プロジェクト文書内の自己証明された主張だけでなく、CertiK や OpenZeppelin などの評判の良い企業からの署名を探してください。

Q: 一部の NFT がアグリゲーターで下限価格をゼロと表示するのはなぜですか? A: これは、サポートされている分散型取引所に有効な売り注文が存在しない場合、またはコレクションのコントラクトがインデックス サービスに必要な標準の転送イベントを発行できない場合に発生します。

Q: NFT マーケットプレイスに対する無制限の支出枠を承認しても安全ですか? A: いいえ。無制限の承認により、ウォレットに保持されているすべてのトークンへの永続的なアクセスが許可されます。 Revoke.cash などのツールを使用して、各取引前に正確に必要な金額まで手当を減らします。

Q: NFT のメタデータが IPFS に保存されているかどうかを確認するにはどうすればよいですか? A: Etherscan でトークンの生データを表示します。 tokenURIフィールドがipfs://で始まる場合、分散ストレージを指します。 URI が不明なエンティティによって制御される HTTP エンドポイントに解決されるトークンは避けてください。