Les contrats de collection numérique de la NBA présentent une faille de sécurité majeure

Récemment, la NBA a lancé une série de collectibles numériques, mais il est inquiétant de constater qu'une grave vulnérabilité de sécurité a été découverte dans son contrat de vente. Les chercheurs en sécurité ont souligné que cette faille pourrait être exploitée par des acteurs malveillants, permettant aux attaquants de forger des collectibles sans frais et d'en tirer profit.

Après analyse, la racine du problème réside dans le mécanisme de vérification des signatures des utilisateurs de la liste blanche dans le contrat. Plus précisément, le contrat n'a pas réussi à garantir l'unicité et l'exclusivité des signatures de la liste blanche, ce qui signifie qu'un attaquant peut réutiliser les signatures d'autres utilisateurs de la liste blanche pour frapper des objets de collection.

D'un point de vue technique, l'implémentation de la fonction verify présente des défauts évidents. Cette fonction n'inclut pas l'adresse de l'expéditeur de la transaction dans le contenu de la signature pendant le processus de validation, et elle ne met pas en place de mécanisme pour empêcher l'utilisation multiple de la signature. Ces mesures de sécurité logicielle de base, qui auraient dû être respectées, sont malheureusement ignorées dans un projet aussi connu, ce qui est vraiment choquant.

La découverte de cette vulnérabilité de sécurité met en évidence l'importance de respecter rigoureusement les meilleures pratiques de sécurité dans le développement de projets blockchain. Même les projets lancés par de grandes organisations peuvent présenter des lacunes de sécurité fondamentales. Pour les utilisateurs participant à des transactions de biens numériques, c'est sans aucun doute un avertissement, leur rappelant de rester vigilants lors de leur participation à des activités connexes et de prêter attention à l'attitude et à la capacité des équipes de projet à gérer les problèmes de sécurité.

Pour la NBA et d'autres institutions qui prévoient de lancer des objets de collection numériques, cet événement devrait devenir une occasion d'apprentissage importante. Il souligne la nécessité d'effectuer un audit de sécurité complet lors du processus de développement, ainsi que de vérifier minutieusement chaque vulnérabilité potentielle avant le déploiement. Ce n'est qu'en garantissant la sécurité et la fiabilité des infrastructures que l'on peut réellement protéger les intérêts des utilisateurs et maintenir le développement sain du marché des objets de collection numériques.