[论文解读] Identifying Security Risks in NFT Platforms

Yash P. Gupta, Jayanth Kumar+1 more|arXiv (Cornell University)|Mar 18, 2022

Peer-to-Peer Network Technologies被引用 12

一句话总结

本文识别并分类了Web3生态系统中NFT平台的网络安全风险，提出了一套固有风险的分类体系以及基于技术和流程的可操作缓解措施。该研究为利益相关方提供了一个结构化框架，以提升安全成熟度，不偏袒任何特定产品，为增强NFT平台韧性提供了全面且非商业化的路线图。

ABSTRACT

This paper examines the effects of inherent risks in the emerging technology of non-fungible tokens and proposes an actionable set of solutions for stakeholders in this ecosystem and observers. Web3 and NFTs are a fast-growing 300 billion dollar economy with some clear, highly publicized harms that came to light recently. We set out to explore the risks to understand their nature and scope, and if we could find ways to mitigate them. In due course of investigation, we recap the background of the evolution of the web from a client-server model to the rise of Web2.0 tech giants in the early 2000s. We contrast how the Web3 movement is trying to re-establish the independent style of the early web. In our research we discover a primary set of risks and harms relevant to the ecosystem, and classify them into a simple taxonomy while addressing their mitigations with solutions. We arrive at a set of solutions that are a combination of processes to be adopted, and technological changes or improvements to be incorporated into the ecosystem, to implement risk mitigations. By linking mitigations to individual risks, we are confident our recommendations will improve the security maturity of the growing Web3 ecosystem. We are not endorsing, or recommending specifically any particular product or service in our solution set. Nor are we compensated or influenced in any way by these companies to list these products in our research. The evaluations of products in our research have to simply be viewed as suggested improvements.

研究动机与目标

• 分析NFT与Web3生态系统中不断演变的风险，特别是考虑到其3000亿美元市场规模的增长以及高调事件的影响。
• 对比从集中式Web2.0模式向Web3去中心化愿景的转变，突出用户自主权的回归及其相关风险。
• 开发一套系统化的NFT平台安全风险分类体系，按风险性质和影响范围进行分类。
• 提出一种双管齐下的缓解策略，结合流程改进与技术增强，以加强生态系统的安全性。
• 为利益相关方提供一个非商业性、基于证据的框架，以提升NFT平台的安全成熟度。

提出的方法

• 本研究对Web1、Web2和Web3架构进行对比分析，以在更广泛的互联网演进背景下定位NFT的出现。
• 基于在NFT平台中观察到的漏洞和公开事件，将安全风险识别并分类为结构化分类体系。
• 作者提出了一套缓解措施，结合程序性变更（如治理实践）和技术改进（如智能合约加固）。
• 每项缓解措施均明确关联到特定风险类别，确保解决方案具有针对性和可追溯性。
• 研究避免推荐具体产品，而是聚焦于适用于各平台的通用原则和架构改进。

实验结果

研究问题

• RQ1 NFT平台在Web3生态系统中固有的主要安全风险是什么？
• RQ2 这些风险与早期网络模型（特别是Web2.0）中的风险相比有何异同？
• RQ3 能否建立一个系统化的分类体系，以对影响NFT平台的多样化风险进行分类？
• RQ4 哪些流程和技术创新能够有效缓解这些已识别的风险？
• RQ5 利益相关方如何在不依赖特定商业产品的情况下实施这些缓解措施？

主要发现

• 本研究识别出NFT平台中存在的一组主要安全风险，包括智能合约漏洞、钱包被入侵以及欺诈性市场操作。
• 构建了风险分类体系，按攻击面将威胁分类，如智能合约逻辑缺陷、前端攻击（front-running）和网络钓鱼攻击。
• 研究证明，许多风险源于Web3的去中心化特性，传统信任模型已不再适用。
• 缓解策略被提出为技术加固与操作最佳实践的结合，例如形式化验证和用户认证机制的改进。
• 作者确认其解决方案集合为非商业性质，不受行业影响，确保了建议的客观性。