NFT:世界杯来袭，欣赏”诸神最后一战“时更要提防风险局_snft币最新消息

作者：GoPlusSecurity

一、与世界杯相关的加密风险层出不穷

2022年卡塔尔世界杯即将到来，本届世界杯极大概率是梅西、C罗、本泽马、莫德里奇、莱万多夫斯基等人的最后一届世界杯。在”诸神最后一战“即将到来的时刻，各种区块链上与世界杯有关的局也层出不穷。

根据GoPlusToken检测引擎的数据统计显示，仅就最近一周出现的名称中存在“FIFA”或者“WorldCup”的有风险Token超过1000个，涉及地址超过16万个，累计流动性更是超过500万美金。

下面列表中包含了一些主要的风险类型：

与此同时，各种与世界杯相关的NFT也不断涌现，其中也包含了大量有严重风险的NFT。因此在世界杯狂欢之余，我们也不能对各类蹭热点的代币/NFT项目掉以轻心，合理运用便利的安全检测工具，保护好自身的加密资产。

二、用户可能遇到的Token风险介绍

Token风险多种多样，在世界杯期间更是可能集中爆发，在这里先介绍几种主要的且非常严重的风险。

Crypto.com成为2022年卡塔尔世界杯官方赞助商:金色财经报道，加密货币交易所 Crypto.com 周二宣布成为 2022年卡塔尔世界杯（The FIFA World Cup – Qatar 2022）的官方赞助商，交易的总金额未披露。Crypto.com 的品牌将出现在2022 年卡塔尔世界杯的体育场内外。作为赞助的一部分，加密货币交易所将为其用户提供参加比赛和赢得官方商品的机会。

Crypto.com 首席营销官 Steven Kalifowitz 在声明中表示：“没有一项运动能像足球那样将世界凝聚在一起，也没有一项体育赛事像 FIFA 世界杯那样将世界凝聚在一起…只有少数品牌有幸以官方身份参加赞助商，我们抓住机会成为这个历史性的活动中第一个代表加密行业的品牌”。（cointelegraph）[2022/3/23 14:12:27]

1.貔貅代币

即合约中包含明确的恶意代码，导致用户无法交易或者资产损失的代币。

例如下面的Token就存在恶意代码。

动态 | 俄罗斯世界杯期间接受数字货币支付的商店数极少:俄罗斯世界杯期间，接受数字货币支付的商店数量极少，即使在莫斯科市中心，大多数地方都不接受数字货币，更不用说其他较小的主办城市。[2018/7/2]

如上图所示，该合约代码中所有相关功能都通过外部合约实现，例如所有holder的余额都存储一个外部合约中。这就意味着只要这个外部合约被换成一个新的，所有holder的余额将被直接清零。这就是一个有严重风险的恶意代码。

2.可随时自毁的代币

合约自毁简单来说就是合约可被销毁，销毁后合约也不存在，合约对应的资产也将不复存在。说白了，就是合约没了，合约没了的话那么其对应Token也就没了，用户的相应资产也将直接消失。并且根据监测，合约中包含了自毁功能的代币，最后一般都会启动该功能。

例如下面的Token就存在自毁功能。

如上图所示，其代码中的“kill”function一旦启动，该合约就会自毁，其Token也就会消失。

金色财经独家分析 区块链或将为世界杯竞猜平台带来新的技术支持:近日，阿森纳官方合作的区块链竞猜平台CashBet获得新湃资本战略投资。随着世界杯的日益临近，不断有区块链竞猜平台宣布获得融资。金色财经分析，区块链俨然已经成为时下最热门的技术之一，各行各业都在做“区块链＋”，试图利用区块链的多中心化、不可篡改、安全性高等特性来改造行业弊端。而竞猜是每届世界杯必不可少的狂欢盛宴，当竞猜利用上区块链技术，区块链以其多中心化的特征，使得传统竞猜中的庄家无法控制回报，任何一组竞猜项目都不会被利益团体控制。其次，所有的竞猜信息都会被记录在区块链上并且区块链上的信息无法被篡改，所有信息都是公开透明的，就会避免暗箱操作等现象，使得世界杯竞猜更加透明。相应的也能设置好的“智能合约”的前提下，玩家可以在比赛结束之后自动的获得奖励，不需要经历任何平台之手。[2018/5/24]

3.owner可修改余额

即代币合约中有功能可以使owner地址修改其他地址的该代币余额，且不需要经过受害地址的许可。

球星保罗·马尔蒂尼上线MiaoA时间交易平台，共迎世界杯:5月17日，MiaoA公布了球星保罗·马尔蒂尼上线预告。预告显示保罗·马尔蒂尼的时间将于5月18日开启申购。这是继韩国跑男金钟国、美国总统特朗普、区块链大佬老猫、股神巴菲特4位国际名人上线后，又一位同MiaoA达成合作的重量级国际名人。MiaoA将为用户带来世界杯期间与保罗·马尔蒂尼见面的机会。值得一提的是，MiaoA利用区块链作为底层技术，已实现了区块链+时间消费应用的真正落地。[2018/5/17]

例如下面的Token就存在该问题，其owner地址可以修改其他地址的余额。

主要有问题的代码如上图所示，其owner地址可以把“adressfrom”的token直接分配给“address”中的地址，并且不需要经过用户的许可。

三、NFT风险介绍

除了Token以外，NFT也存在各种安全风险。根据相关安全机构的数据统计，众多NFT在合约层面都存在一定的安全隐患：

并且NFT很容易伪造，这就使得关于世界杯NFT局也可能快速增长。

欧链OracleChain宣布将上线一款与足球和世界杯相关的Dapp游戏应用:欧链OracleChain联合创始人兼首席科学家谭智勇今日在全球热“链”杭州站宣布：1.在OCT切换到EOS主网上后会对接多家交易所。2.OracleChain团队会引入更多宣传和品牌方面的人才。3.PocketEOS上线后会上线一款与足球和世界杯相关的Dapp游戏应用[2018/5/12]

在这里先介绍几种非常严重的NFT合约风险。

1.限制授权对象导致无法交易

一般是指除白名单以外的地址，无法向合约授权。因为去中心化NFT交易平台都需要合约授权，这就意味着用户将无法在去中心化交易所中交易该NFT。

这种局一般是项目方先让白名单中的地址去刷数据，用户会看到在交易平台上该NFT交易数据正常，以为可以交易。但是当用户买入想再卖出时，结果发现就无法交易了。

典型案例

上面的案例中，该NFT合约代码中存在要求，即授权对象不能是合约，而在opensea挂单需要向opensea的合约授权，因此这个nft就无法挂单了

代码如下图所示。

上图中，只有_addressTransferToContract名单里的地址可以授权成功，不在这个名单里的地址给合约授权会失败。

2.不经授权转账

即NFT的owner可以不经授权直接把其他地址的该NFT转移到自己指定的地址上。

这个恶意手段一般有两种使用形式：

卖出NFT后直接转走

如下图所示，该NFT卖出后，直接就被转走。

之所以可以实现这种方式，就是因为其合约代码中设置了一个地址，这个地址有所有该NFT的授权。那么这个地址就可以随时直接把其他地址上的该NFT转走。如下图所示

伪造名人持有并转账过该NFT，使得该NFT获得所谓的名人背书

近期有很多用户反馈，就是有些NFT项目宣传某大V站台，并表明大V交易过，因此咨询我们项目的安全性。其实这就是“不经授权转账”的另一种具体模式。

其主要流程是这样的：

1.先把NFTmint给某公开的大V地址，该NFT合约代码中有不经授权转账的逻辑。

2.之后找到合适时机，把该NFT再从大V的地址转走。那么在链上就表现为大V的地址不仅持有还转账过NFT（特别是转账这一步有很强的迷惑性，普通用户可能会误认为大V真的交易过该NFT)。

3.之后项目方就可以以此宣传获得所谓的“大V背书”，进而用户。

四、作为用户，应该如何防御相关风险

首先，树立防范意识，基于自身情况，建立基本的防范措施

需要明确类似世界杯局一定会越来越多，一定要时刻注意。随着世界杯的进行，相关热度逐步提高，一定会有更多的局出现。除了与世界杯或者FIFA有关以外，还可能会有世界杯上的知名球星或热门事件相关的局。大家一定要时刻注意。

对于感兴趣的Token/NFT要慎重，先通过官网/社群/twitter等了解其基本情况。

对于别人推荐的token或者链接一定要小心，避免上当受。

以上几点注意事项其实并不复杂，但为什么攻击者却能屡屡得手？

一是因为攻击范围大，覆盖用户量大，总有漏网之鱼；二是利用了用户的急躁心态，引发用户恐慌，同时不给用户留出思考时间；三是用户可以缺少快速检测Token/NFT局的工具。

其次，要学会使用安全检测工具

针对Token/NFT中的各种局，需要在买入前提前使用相关检测工具检查，尽可能避免风险。

1.针对Token检测，可以使用GoPlus代币安全检测服务

GoPlus代币安全检测服务是目前覆盖代币数最多、检测项最全、检测结果最准的代币检测服务之一，目前其检测服务已经接入到TokenPocket、AveDex、Mask、Bitkeep等众多知名区块链产品中。

GoPluseco上的代币安全检测介绍页

打开后直接在页面中选择Token对应的公链，并输入地址，即可查看检测结果。

点击检测按钮后，即可出现全面的安全检测结果，包含了合约安全、貔貅风险、持有量与锁仓情况等数十项安全检测内容。

2.针对NFT检测，可以使用GoPlusNFT安全检测服务

GoPlusNFT安全检测服务是目前已经支持各项主要的NFT安全检测。其安全服务也已经被X2Y2等主要平台所使用。

GoPluseco上的GoPlusNFT介绍页

打开后直接在页面中选择NFT对应的公链，并输入地址，即可查看检测结果。

点击检测按钮后，即可出现全面的安全检测结果，包含了合约安全、NFT真伪性、交易信息等数十项安全检测内容。

3.直接在GoPluseco中输入地址进行搜索。

可以直接在GoPluseco中输入地址进行搜索，里面集成了Token与NFT的相关检测。

输入地址后，会检测该地址有无恶意行为，并提供相应的Token/NFT检测入口。

以上内容均来自GoPluseco，GoPluseco通过聚合行业内优质的安全应用或服务，为用户匹配最优的安全解决方案。遇到安全相关的问题时，不妨来GoPluseco问问，这里有问必答。

并且在世界杯期间，GoPluseco将提供世界杯安全主题页，提供能够检测世界杯相关Token、NFT和钓鱼网站的安全服务，保护大家的资产安全。

标签：NFTTOKTOKEKENsnft币最新消息McLaren F1 Fan Tokenimtoken钱包app下载网址Kind Ads Token

火必交易所热门资讯