漏洞也是藝術品？NFT面臨安全危機
上周四，一位自學成才的藝術家麥克·溫克爾曼(Mike Winkelmann)以6930萬美元的價格在佳士得網上出售了一張數字圖像，成交價格甚至遠遠超過了薩爾瓦多·達利或保羅·高更的藝術品，也是有史以來出售的最昂貴的數字資產，帶有被稱為不可替代的通證(或NFT)的真實性數字證書。
此外，據華爾街日報報道，音樂家Grimes最近還以大約600萬美元的價格售出了10件基于NFT的數字藝術作品。
甚至Twitter創(chuàng)始人也加入了NFT的“帶貨”熱潮，五個單詞(創(chuàng)世推文)拍出250萬美元...
何為NFT?
簡單來說，NFT就是使用(以太坊)區(qū)塊鏈分布式數據庫技術，為任意類型的數字商品/資產創(chuàng)建的所有權證書，且該證書獨一無二。
NFT之所以讓互聯(lián)網和金融圈掀起瘋狂，是因為NFT解決了數字版權的兩大痛點：唯一性與真實性驗證和去中介(心)化交易。
NFT的關鍵創(chuàng)新之處在于提供了一種標記原生數字資產所有權(即存在于數字世界，或發(fā)源于數字世界的資產)的方法，且該所有權可以存在于中心化服務或中心化庫之外。
同時，NFT由于其非同質化、不可拆分的特性，使得它可以和現(xiàn)實世界中的一些商品綁定。換言之，其實就是發(fā)行在區(qū)塊鏈上的數字資產，這個資產可以是游戲道具、數字藝術品、門票等，并且具有唯一性和不可復制性。由于NFT具備天然的收藏屬性和便于交易，加密藝術家們可以利用NFT創(chuàng)造出獨一無二的數字藝術品。
黑客攻擊紛沓而至
但是NFT在顛覆并開拓潛力巨大的數字資產/版權交易市場的同時，也吸引了黑客的注意力?；贜FT的天價畫作成交不到一周，黑客攻擊就紛沓而至。
近日，數字藝術版權交易市場Nifty Gateway的用戶報告說，黑客在周末接管了他們的賬戶并竊取了價值數千美元的藝術品。
甚至有用戶表示更改了密碼之后，仍未能將黑客趕出賬戶。一些人則發(fā)現(xiàn)失竊的數字資產隨后在聊天應用程序Discord或Twitter上出售。
其他用戶還報告說，入侵者還竊取了他們的信用卡信息，并開始使用它來購買其他藝術品，失竊金額高達2萬美元。
Nifty Gateway在一份聲明中表示，它鼓勵用戶使用雙因素身份驗證(2FA)來防止賬戶被黑客入侵和接管，并指出受影響的帳戶都沒有啟用2FA。該公司表示，“沒有跡象表明Nifty Gateway平臺遭到入侵。”
NFT支持的數字藝術的價值是否會隨著時間的流逝而消失，以及其價值是否源于其創(chuàng)新性，仍然存在疑問。但是就目前而言，巨大利益的驅使下，黑客們正熱衷于竊取并通過NFT轉移高價值數字資產。
過去，為朝鮮政府工作的國家黑客熱衷于獲取比特幣等加密貨幣，但NFT的獨特之處在于，它們無法像比特幣一樣用其他NFT代幣交換。
漏洞也是藝術品?
不僅僅是黑帽黑客，白帽黑客們也經不住NFT的誘惑。最近幾周，網絡安全社區(qū)也開始涉足NFT。NFT市場OpenSea的一位用戶在本月初發(fā)布了一項基于NFT的漏洞利用程序，這引發(fā)了關于NFT交易內容的范圍界定和審核，以及惡意黑客是否可能通過NFT買賣漏洞利用程序或其他黑客工具的道德問題。
“作為漏洞利用工程師，我將某些漏洞視為藝術品，例如：這是一個有趣的計算機安全漏洞，可導致當下最流行的網絡游戲引擎拒絕提供服務，”發(fā)布漏洞利用的用戶，聯(lián)合創(chuàng)始人安全公司Hacker House的負責人Matthew Hickey在推文中說。“資產/知識產權將全部轉讓，買家可以根據需要進行處理。”
該漏洞是ioquake3引擎(一種經典的第一人稱射擊引擎)中的身份驗證后內存損壞漏洞，任何購買該漏洞的人都可以對該游戲引擎發(fā)起有效對拒絕服務攻擊。但據CoinDesk報道，OpenSea拒絕了Hickey的上架要求。
Hickey透露，他尚未收到OpenSea的回音，并補充說，盡管他認為不應限制某人可以通過NFT出售的數字資產的種類，但他認為NFT還處于發(fā)展初期，NFT在信息安全社區(qū)中的應用還有待探索。
“我們仍在研究NFT，該技術似乎還處于起步階段，但是我們確實將其視為一種顛覆性技術，但是與網絡安全領域的關系還有待進一步研究。”Hickey說道：“我認為人們應該能夠出售的數字資產類型不應該受到任何限制，我認為當前的NFT集中化交換模型應該變成去中心化，以允許此類資產的直接對等轉移。真正改變版權、數字版權管理和其他數字版權相關概念。”
Hickey警告說，NFT如果落入不法之徒，則有可能被濫用。
與任何技術一樣，NFT可以引發(fā)新的犯罪和濫用，就像互聯(lián)網促進了新的商業(yè)活動一樣，NFT也將催生新的網絡犯罪行為。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
