[論文レビュー] Identifying Security Risks in NFT Platforms

Yash P. Gupta, Jayanth Kumar+1 more|arXiv (Cornell University)|Mar 18, 2022

Peer-to-Peer Network Technologies被引用数 12

ひとこと要約

この論文は、Web3エコシステム内のNFTプラットフォームにおけるセキュリティリスクを特定・分類し、固有のリスクの分類法と、技術的およびプロセス的アプローチに基づく実行可能な緩和策を提言する。ステークホルダーが特定製品を推奨しない構造的フレームワークを用いてセキュリティ成熟度を向上させることができ、NFTプラットフォームのレジリエンスを高める包括的で非商業的なロードマップを提供する。

ABSTRACT

This paper examines the effects of inherent risks in the emerging technology of non-fungible tokens and proposes an actionable set of solutions for stakeholders in this ecosystem and observers. Web3 and NFTs are a fast-growing 300 billion dollar economy with some clear, highly publicized harms that came to light recently. We set out to explore the risks to understand their nature and scope, and if we could find ways to mitigate them. In due course of investigation, we recap the background of the evolution of the web from a client-server model to the rise of Web2.0 tech giants in the early 2000s. We contrast how the Web3 movement is trying to re-establish the independent style of the early web. In our research we discover a primary set of risks and harms relevant to the ecosystem, and classify them into a simple taxonomy while addressing their mitigations with solutions. We arrive at a set of solutions that are a combination of processes to be adopted, and technological changes or improvements to be incorporated into the ecosystem, to implement risk mitigations. By linking mitigations to individual risks, we are confident our recommendations will improve the security maturity of the growing Web3 ecosystem. We are not endorsing, or recommending specifically any particular product or service in our solution set. Nor are we compensated or influenced in any way by these companies to list these products in our research. The evaluations of products in our research have to simply be viewed as suggested improvements.

研究の動機と目的

• NFTおよびWeb3エコシステムにおける進化するリスクを分析すること。特に、3000億ドル規模の市場成長と著名なインシデントを踏まえて行う。
• 中心集権的なWeb2.0モデルから、分散型のビジョンであるWeb3への移行を対比し、ユーザー主権の回帰とその関連リスクを強調すること。
• NFTプラットフォームに影響を及ぼすセキュリティリスクの体系的分類法を構築し、その性質と範囲で分類すること。
• セキュリティ強化のための二面的戦略を提言すること。技術的改善とプロセス改善の両方を組み合わせること。
• ステークホルダーがNFTプラットフォームにおけるセキュリティ成熟度を向上させるための非商業的で、証拠に基づいたフレームワークを提供すること。

提案手法

• 本研究は、Web1、Web2、Web3アーキテクチャの比較分析を実施し、NFTの登場をより広範なインターネット進化の文脈に位置づける。
• 観察された脆弱性と公開のNFTプラットフォームにおけるインシデントに基づき、セキュリティリスクを体系的な分類法に分類する。
• 手順的変更（例：ガバナンス慣行）と技術的改善（例：スマートコントラクトの強化）を組み合わせた緩和策のセットを提言する。
• 各緩和策は、特定のリスクカテゴリに明確にリンクされており、的確かつ追跡可能な解決策を保証する。
• 本研究は製品の推奨を避け、代替可能なプラットフォームに適用可能な一般原則とアーキテクチャ的改善に焦点を当てる。

実験結果

リサーチクエスチョン

• RQ1 Web3エコシステム内におけるNFTプラットフォームに内在する主なセキュリティリスクは何か？
• RQ2 これらのリスクは、特にWeb2.0モデルにおけるリスクとどのように比較できるか？
• RQ3 NFTプラットフォームに影響を及ぼす多様なリスクを分類する体系的分類法をどのように構築できるか？
• RQ4 どのプロセス的および技術的改善が、同定されたリスクを効果的に緩和できるか？
• RQ5 ステークホルダーは、特定の商業製品に依存せずに、これらの緩和策をどのように実装できるか？

主な発見

• 本研究は、スマートコントラクトの脆弱性、ウォレットの改ざん、偽装マーケットプレイスの慣行など、NFTプラットフォームにおける主なセキュリティリスクを同定した。
• 攻撃表面（例：スマートコントラクト論理上の欠陥、フロントランニング、フィッシング攻撃）を基準に、脅威を分類するリスクの分類法が開発された。
• 研究は、多くのリスクがWeb3の分散型性に起因することを示した。ここでは、従来の信頼モデルがもはや適用できない。
• 技術的強化と運用上のベストプラクティス（例：形式的検証、改善されたユーザー認証）の組み合わせとして、緩和戦略が提言された。
• 著者らは、その解決策セットが非商業的であり、業界の影響を受けていないことを確認した。これにより、提言の客観性が保証された。