Debut rookie GameFi: Fren Pet, game full-chain dari perspektif keamanan

Setelah kegilaan Friend.tech mereda, Fren Pet, game blockchain berbasis blockchain yang dibangun oleh dua pengembang, menarik perhatian pasar. Dari tanggal 19 hingga 20 November, berkat perhatian resmi Base dan gameplay social fisson Fren Pet, Fren Pet menjadi populer di media sosial dan menjadi rookie GameFi.

Meskipun jumlah pengguna Fren Pet berkembang pesat, aspek keamanan tetap tidak terhalang. Hari ini, tim keamanan Beosin akan menganalisis mekanisme desain dan kode kontrak Fren Pet untuk membantu Anda memahami potensi risiko.

Analisis mekanisme Fren Pet

Game Fren Pet saat ini terdiri dari pencetakan hewan peliharaan, memberi makan hewan peliharaan, pertempuran hewan peliharaan melawan pengguna lain, roda keberuntungan, dan dadu bergulir. Pengguna game yang berpartisipasi dalam Fren Pet pertama-tama harus mencetak hewan peliharaan (NFT), dan setiap hewan peliharaan harus menghabiskan 100 token FP untuk pencetakan (jika pengguna lain kemudian mencetak hewan peliharaan, FP yang dihabiskan akan dikembalikan ke pengguna), dan kemudian pengguna harus membayar token FP untuk membeli apel, kopi, dan alat peraga lainnya untuk memberi makan hewan peliharaan mereka untuk menghindari TOD (Countdown to Death) hewan peliharaan menjadi nol, yaitu, NFT yang diadakan akan dihancurkan secara otomatis.

Poin Hewan Peliharaan diberikan untuk memberi makan hewan peliharaan, semakin tinggi poinnya, semakin banyak hadiah ETH yang Anda dapatkan, dan hadiah ETH berasal dari pajak transaksi pada token FP, yang dikenakan pajak 5% untuk setiap transaksi dan 2% didistribusikan kepada gamer. Oleh karena itu, semakin banyak pengguna yang berpartisipasi, semakin banyak permintaan token FP, semakin besar volume perdagangan token FP, dan semakin banyak ETH yang akan dihargai.

Analisis Kontrak Hewan Peliharaan Fren

Alamat kontrak utama Fren Pet adalah 0x85b157EbaAF289De5301aE6694B651BF3b8df1C3, alamat kontrak NFT-nya adalah 0x5b51Cf49Cb48617084eF35e7c7d7A21914769ff1, dan alamat kontrak tokennya adalah 0xFF0C532FDB8Cd566Ae169C1CB157ff2Bdc83E105 Alat Beosin VaaS memindai kontrak, dikombinasikan dengan analisis pakar audit keamanan Beosin, dan menemukan bahwa kontrak tersebut memiliki potensi risiko keamanan berikut:

Beosin VaaS

Kontrak Utama Fren Pet

Kontrak utama Fren Pet terutama bertanggung jawab atas konten game dan distribusi hadiah yang disebutkan di atas. Berikut adalah beberapa saran untuk meningkatkan keamanan kontrak mereka:

1. Tambahkan pengubah nonReentrant

Dalam fungsi tebus dan bunuh kontrak, pengembang harus mengonfirmasi bahwa fungsi tersebut tidak berisiko terhadap serangan re-entrancy. Disarankan untuk menggunakan pengubah nonReentrant dari kontrak anti-reentrant openzeppelin untuk menghindari serangan re-entrancy.

**2. Gunakan generator nomor acak yang aman **

Nonce yang digunakan oleh kontrak utama Fren Pet dihasilkan dari blok dan alamat pengirim, dan lebih aman menggunakan Fungsi Acak yang Dapat Diverifikasi seperti Chainlink untuk menghasilkan nomor nonce yang andal dan adil.

3. Perhatikan kontrol akses

Kontrak utama Fren Pet menggunakan pengubah isApproved untuk mengontrol apakah pemanggil memiliki izin untuk memanggil fungsi, yang mengharuskan pengembang untuk sangat akrab dengan logika bisnis proyek mereka dan mengonfirmasi bahwa izin tidak akan dilewati. Dalam kontrak Fren Pet V2, masalah kontrol akses tetap perlu diperhatikan.

####Fren Pet NFT 合约

Struktur keseluruhan kontrak NFT Fren Pet adalah sebagai berikut:

Kontrak FrenpetNFT mewarisi ERC721 dan bertanggung jawab atas pencetakan dan pembakaran NFT, dan IRenderer bertanggung jawab untuk memproses metadata NFT Fren Pet. Disarankan untuk memancarkan peristiwa ketika fungsi setRenderer dan setMinter dipanggil, sehingga dunia luar dapat mendengarkan dan melacak transfer informasi yang relevan. **

Kontrak Fren Pet Token

1. Risiko Sentralisasi

Kontrak token memiliki beberapa fungsi onlyOwner, seperti fungsi daftar hitam dan fungsi updateBuyFees. Fungsi-fungsi ini dapat memiliki dampak besar pada perdagangan token. Pemilik kontrak dapat mengubah biaya transaksi, memblokir pengguna dari membeli atau menjual, dan menambahkan daftar hitam alamat:

2. Kunci waktu tidak ada

Kontrak token Fren Pet tidak memiliki kunci waktu untuk membatasi hak operasi pemegang kontrak. Sementara beberapa fungsi dalam kontrak, seperti withdrawStuckToken() dan updateSwapEnabled(), memungkinkan pemegang kontrak untuk mengambil tindakan terhadap kontrak dalam keadaan darurat untuk melindungi aset pengguna, kurangnya timelock dapat memungkinkan fungsi-fungsi ini disalahgunakan. Dalam hal ini, pengguna dan perusahaan keamanan tidak memiliki cukup waktu untuk bereaksi terhadap tindakan pemegang kontrak.

Waspadalah terhadap risiko phishing!

Selain risiko kontrak, karena popularitas Fren Pet, situs web phishing terkait dan akun media sosial juga muncul dalam aliran tanpa akhir. Ingatkan pengguna untuk tidak mengklik tautan palsu, seperti tautan dari pencarian Google, dan yang terbaik adalah melalui platform sosial lain untuk verifikasi sekunder. Akun palsu semacam itu sering men-tweet bahwa airdrop token yang relevan telah dibuka untuk memikat pengguna ke situs web phishing.

Situs web phishing Fren Pet

Ada beberapa tips anti-phishing yang perlu diingat, cobalah untuk menghindari phishing, atau pertimbangkan untuk menginstal plugin Beosin Anti-Phishing untuk membantu Anda mengidentifikasi situs phishing. **

Tautan unduhan:

Ringkasan

Kontrak Fren Pet tidak memiliki kerentanan logika bisnis yang jelas, tetapi risiko sentralisasi kontrak jelas, dan beberapa kode memiliki implementasi yang lebih aman untuk meningkatkan keamanan kontraknya. Sebelum ini, ada banyak kegilaan GameFi dan SocialFi di pasar, dan pengguna biasa rentan terhadap emosi FOMO dan secara membabi buta jatuh ke dalam perangkap memancing. Pengguna perlu menyadari bahwa Fren Pet hanyalah upaya oleh dua pengembang di bidang Web3, dan pengguna harus melakukan pekerjaan pengelolaan dana dan penelitian proyek dengan baik, dan berpartisipasi secara rasional.