Giống như "bệnh ngoài da" Web3 lan truyền theo kiểu virus, nhìn từ góc độ an toàn về dự án xPet gần đây đang gây sốt mạng
Tuyển chọn TechFlowTuyển chọn TechFlow
Giống như "bệnh ngoài da" Web3 lan truyền theo kiểu virus, nhìn từ góc độ an toàn về dự án xPet gần đây đang gây sốt mạng
Phân tích rủi ro an toàn của dự án xPet trong một bài viết.
Chuyên sâu báo cáo Web3Tác giả: Beosin
Gần đây, một trò chơi trên chuỗi mang tên xPet đã nhanh chóng trở nên nổi tiếng trên nền tảng Twitter. Có người mô tả dự án này như một dạng "bệnh vảy nến" Web3 lan truyền theo kiểu virus, với lượng người theo dõi và người dùng tăng trưởng nhanh chóng. xPet là một dự án sớm kết hợp giữa trò chơi và mạng xã hội, chỉ trong vòng hai tuần ra mắt đã thu hút sự chú ý của đông đảo người dùng. Nhờ sự phục hồi của lĩnh vực GameFi và cơ chế thiết kế của xPet, hiện tại dự án đã nhận được 2.785 ETH (khoảng 6,58 triệu USD), trở thành một trong những dự án được quan tâm gần đây.
Đồng thời, các vấn đề an toàn liên quan cũng không thể bỏ qua. Để giúp người dùng hiểu rõ các rủi ro tiềm ẩn, hôm nay đội ngũ an ninh Beosin sẽ tiến hành phân tích chi tiết cơ chế thiết kế và mã hợp đồng của xPet, làm rõ các nguy cơ an ninh tồn tại bên trong.
Phân tích cơ chế xPet
xPet là một trò chơi thú cưng được xây dựng trên Arbitrum, lối chơi kết hợp giữa Tipcoin và Fren Pet – trò chơi từng gây sốt trên chuỗi Base – thông qua việc nuôi dưỡng thú cưng để lên cấp và kiếm lợi nhuận. Điểm khác biệt của xPet so với các dự án tương tự trước đó là xPet được phát hành dưới dạng tiện ích mở rộng trình duyệt, đăng nhập bằng cách liên kết tài khoản Twitter, và các nhiệm vụ thưởng trong trò chơi sau này hoàn toàn gắn liền với Twitter.
Trang web chính thức: https://www.xpet.tech/
Hiện tại nội dung trò chơi chủ yếu bao gồm nuôi thú cưng, nâng cấp nhà máy, thực hiện nhiệm vụ trên Twitter để nhận rương thưởng. Người chơi muốn tham gia xPet trước tiên cần nâng cấp thú cưng của mình, vì thú cưng phải đạt cấp độ 7 mới có thể sản xuất $Berry, và $Berry có thể chuyển đổi thành $BPET tại nhà máy để tạo lợi nhuận. Việc nâng cấp thú cưng yêu cầu thanh toán bằng một trong hai loại tiền tệ của xPet: $XPET hoặc $BPET. Ban đầu khi bắt đầu trò chơi, người dùng cần ký gửi ETH làm tài sản thế chấp để vay ra $XPET (hai loại $XPET và $BPET có thể chuyển đổi 1:1), hoặc mua $XPET từ nhóm giao dịch XPET-ETH. Hệ thống kinh tế trò chơi được minh họa như hình dưới:
Nguồn: Beosin
Phân tích hợp đồng xPet
Hợp đồng chính của xPet là hợp đồng có thể nâng cấp ERC1967.
Địa chỉ hợp đồng proxy là
0x1B0D12879960A768D02bd223ef735D4231a15348,
địa chỉ hợp đồng logic là
0xcD4420B70e2669De8dE9d62dd7fEa4D19b320768.
Địa chỉ hợp đồng token $XPET là
0x00cbcf7b3d37844e44b888bc747bdd75fcf4e555
Địa chỉ hợp đồng token $BPET là
0x6daf586b7370b14163171544fca24abcc0862ac5
Lần này chúng tôi sử dụng công cụ Beosin VaaS để quét hợp đồng, kết hợp với phân tích từ chuyên gia kiểm toán an ninh Beosin, phát hiện các rủi ro an ninh tiềm tàng sau đây trong các hợp đồng liên quan đến xPet:
Beosin VaaS
Hợp đồng chính xPet
Hợp đồng chính xPet chịu trách nhiệm về logic cho vay ETH và $XPET, nhưng hợp đồng chính là loại có thể nâng cấp, và nhóm phát triển chưa công khai mã nguồn hợp đồng logic, do đó không thể kiểm tra xem hợp đồng logic có lỗi hay rủi ro tiềm tàng nào không.
Về an ninh hợp đồng có thể nâng cấp, Beosin đề xuất:
1. Khởi tạo hợp đồng và các phụ thuộc
Nhà phát triển có thể quên khởi tạo hợp đồng và các phụ thuộc khi triển khai, dẫn đến các lỗ hổng nghiêm trọng.
2. Chú ý xung đột lưu trữ
Việc sửa đổi dữ liệu lưu trữ khi nâng cấp hợp đồng có thể gây ra xung đột lưu trữ giữa các phiên bản hợp đồng khác nhau, các biến khác nhau có thể trỏ tới cùng một vị trí lưu trữ, dẫn đến sai lệch dữ liệu và mất mát tài sản.
3. Quản lý quyền hạn
Nhà phát triển cần giới hạn quyền nâng cấp hợp đồng để tránh kẻ tấn công giành quyền kiểm soát việc nâng cấp.
Hợp đồng token $XPET
Hợp đồng $XPET kế thừa từ ERC20 và AccessControl, có các rủi ro tiềm tàng sau:
1. Rủi ro tập trung hóa
Hợp đồng đặt người triển khai là vai trò quản trị viên, đây là điểm kiểm soát tập trung. Nếu tài khoản của người triển khai bị xâm phạm, sẽ gây ra rủi ro lớn.
2. Khả năng truy cập token
Do hợp đồng đúc tất cả token vào địa chỉ của chính nó, nên việc gọi hàm withdraw và convert là phương pháp duy nhất để chuyển token. Thiết kế này làm tập trung dòng lưu thông token.
3. Hợp đồng chưa thiết lập sự kiện (event) cho hai hàm withdraw và convert
Đề nghị bổ sung sự kiện khi các hàm này được gọi, nhằm hỗ trợ theo dõi và giám sát từ bên ngoài.
Hợp đồng token $BPET
Tương tự như hợp đồng token $XPET, các rủi ro đơn điểm không thể bỏ qua:
1. Rủi ro tập trung hóa
Hợp đồng này đặt người triển khai vừa là quản trị viên vừa là người đúc token, tập trung quyền lực vào tay người triển khai. Nếu địa chỉ này bị rò rỉ, có thể dẫn đến rủi ro an ninh nghiêm trọng.
2. Không giới hạn số lượng đúc token
Hàm convert không giới hạn số lượng token được đúc. Nếu người triển khai quyết định đúc quá nhiều token để bán kiếm lời, giá token có thể sụt giảm mạnh.
Cảnh báo rủi ro đúc BPET từ EagleEye
3. Quản lý vai trò
Hợp đồng chưa triển khai chức năng thu hồi hoặc chuyển nhượng vai trò. Nếu cần chuyển quyền sở hữu hoặc loại bỏ người đúc token vì bất kỳ lý do gì, điều này có thể trở thành một rủi ro an ninh tiềm tàng.
Các rủi ro khác
Ngoài các rủi ro về hợp đồng, do xPet yêu cầu người dùng phải bình luận trên Twitter kèm từ khóa "xPet" để nhận phần thưởng trò chơi, hiện tại đã xuất hiện rất nhiều bài đăng phản hồi vô nghĩa chứa từ xpet trên Twitter, gây bất mãn cho nhiều blogger.
Thỏa thuận nhà phát triển Twitter quy định cấm sử dụng các sản phẩm nhà phát triển liên quan đến Twitter để tạo ra tin rác. Nếu xPet bị Twitter cấm sử dụng, cách chơi hiện tại của trò chơi sẽ phải tạm dừng hoàn toàn.
Thỏa thuận nhà phát triển Twitter:
https://developer.twitter.com/en/developer-terms/policy
Tổng kết
Dự án xPetchưa công khai mã nguồn hợp đồng logic chính, rõ ràng có rủi ro tập trung hóa ở cả hai hợp đồng token, việc đúc token mới chưa áp dụng giới hạn đặc biệt về quyền hạn, người dùng cần lưu ý các rủi ro liên quan. Một số đoạn mã hợp đồng có thể được cải thiện thêm về độ an toàn. Trước đó, thị trường đã chứng kiến nhiều lần bùng nổ trào lưu GameFi, SocialFi, người dùng cần quản lý vốn cẩn trọng và nghiên cứu kỹ dự án, tham gia một cách tỉnh táo sau khi hiểu rõ các rủi ro của dự án.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@Beosin_com
