在推特病毒式传播的xPET，合约代码真的安全吗？
xPET爆火的背后，其设计机制和合约代码存在哪些安全漏洞？
原文标题：《Analyzing the Viral Spread of xPetin the Web3 Space: A Security Perspective on the Recent Buzz》
原文作者：Beosin
原文编译：Luccy，BlockBeats
编者按：
近日，xPET 代币 XPET 上涨引发社区热议，这不仅得益于代币登陆 CEX 的利好以及与 OKX 合作的推进，也受官方更新的白皮书内容影响。12 月 28 日，XPET 迎来了新高。据 Bitget 行情数据，XPET 突破 3 美元，较开盘价涨幅超 200%。
Beosin 是一家区块链安全公司，目前已审计了超过 3000 个智能合约专案，帮助来自以太坊、EVM 相容链、 Solana、Near、EOS、aelf 等区块链平台发现并修复了多个中高风险安全漏洞。Beosin 在本文中深入分析了 xPET 在 Web3 领域的病毒传播现象，从安全的角度审视了 xPET 项目的核心逻辑合约、代币合约及其潜在风险，BlockBeats 将原文编译如下：
最近，在 Twitter 平台上，一款名为 xPET 的基于区块链的游戏迅速走红。有人形容这个项目像是一种「Web3 病毒」，迅速增加了关注者和用户数量。xPET 是一个早期的项目，结合了游戏和社交元素，在推出仅两周内就引起了巨大关注。由于 GameFi 行业的复苏和 xPET 独特的机制，该项目在最近成为了备受瞩目的话题，吸引了 2785 ETH（约合 650 万美元）的存款。
然而，与之相关的安全问题不容忽视。为了帮助用户了解潜在的风险，Beosin 安全团队将对 xPET 的设计机制和合约代码进行详细分析，揭示其中存在的安全漏洞。
xPET 机制分析
xPET 是一款建立在 Arbitrum 上的宠物游戏，结合了 Tipcoin 和之前在 Base 链上广受欢迎的 Fren Pet 的元素。游戏玩法涉及通过喂养宠物进行升级和盈利。xPET 的独特之处在于它采用了浏览器插件的形式，要求通过 Twitter 身份验证进行登录，并在随后的游戏奖励任务中实现与 Twitter 的完全集成。
https://www.xPET.tech/
目前，游戏内容主要围绕着喂养宠物、升级工厂以及完成 Twitter 任务以获取宝箱展开。玩家必须将宠物升级到第 7 级，以生产 Berry，这可以转换为 BPET 以获取利润。升级宠物需要支付 xPET 的两个代币之一，即 xPET 或 BPET。用户最初需要以 ETH 作为抵押，借入 xPET（可与 BPET 以 1:1 兑换），或者从 xPET-ETH 交易池购买 xPET。游戏的经济系统设计如下图所示：
来源：Beosin
xPET 合约分析
xPET 的主要合约是一个 ERC1967 可升级合约。
代理合约地址为： 0x1B0D12879960A768D02bd223ef735D4231a15348，
逻辑合约地址为： 0xcD4420B70e2669De8dE9d62dd7fEa4D19b320768。
xPET 代币合约地址为： 0x00cbcf7b3d37844e44b888bc747bdd75fcf4e555，
$$XPET 代币合约地址为 0x00cbcf7b3d37844e44b888bc747bdd75fcf4e555，$$BPET 代币合约地址为： 0x6daf586b7370b14163171544fca24abcc0862ac5。
通过 Beosin VaaS 工具和 Beosin 安全审计专家的分析，已经识别出 xPET 相关合约中的潜在安全风险：
https://vaas.beosin.com/
xPET 主合约
主合约负责处理 ETH 和 xPET 的借贷逻辑。然而，由于主合约是一个可升级合约，而且项目未公开此可升级合约中的逻辑合约，因此无法检测逻辑合约中潜在的逻辑错误或风险。
在可升级合约的安全性方面，Beosin 提出以下建议：
初始化合约和依赖项，开发者在部署过程中可能忽略对合约和依赖项的初始化，从而导致严重的漏洞。
解决地址存储冲突，在合约升级过程中修改存储可能导致不同版本之间的冲突，引发数据错误和财务损失。
管理权限，开发者应当限制升级权限，以防止攻击者掌控合约升级。
xPET 代币合约
xPET 代币合约继承了 ERC20 和 AccessControl 合约，存在潜在风险：
中心化风险，该合约将部署者指定为管理员角色，形成一个中心化的控制点。攻击部署者的账户会带来重大风险。
代币可访问性，该合约集中了代币流动，因为所有代币都被铸造到合约自身。这种设计使得代币流动变得中心化。
提款和转换功能缺乏事件，在调用这些功能时应发出事件，以进行外部监控和跟踪。
BPET 代币合约
xPET 代币合约类似，BPET 代币合约存在一个无法忽视的单点风险：
中心化风险，该合约将部署者指定为管理员和铸造者，集中了权力。攻击部署者的地址可能导致严重的安全风险。
无上限铸币
转换功能缺乏对可铸币数量的限制。如果部署者决定过度铸造代币以谋求利润，可能导致代币价格急剧下跌。
角色管理，合约缺乏吊销或转移角色的功能，如果需要进行所有权转移或移除铸造者，可能存在潜在的安全问题。
其他风险
除了合约风险之外，xPET 还面临与 Twitter 上的垃圾信息有关的问题。由于 xPET 要求用户在 Twitter 上发布带有「xPET」一词的评论以赚取游戏奖励，导致出现了大量无关的帖子包含「xPET」，引起了许多 Twitter 用户的不满。
Twitter 的开发者协议禁止使用与 Twitter 相关的开发者产品生成垃圾信息。如果 Twitter 禁用了 xPET，其依赖于 Twitter 集成的游戏玩法将完全停止。
https://developer.twitter.com/en/developer-terms/policy
结论
xPET 项目的核心逻辑合约仍然是封闭源代码，而且两个代币合约都存在明显的中心化风险。用户应当注意相关风险，而通过一些合约代码的改进可以提高安全性。在此之前，市场已经见证了 GameFi 和 SocialFi 的多个趋势。建议用户明智管理资金，并在充分了解项目风险后以理性的方式参与。
「 原文链接 」
免责声明：文章中的所有内容仅代表作者的观点，与本平台无关。用户不应以本文作为投资决策的参考。
你也可能喜欢
Bitget 现货杠杆新增 USUAL/USDT！
Bitget 现货逐仓杠杆现已新增：USUAL/USDT。 新币上线福利：为庆祝新币上线，Bitget 现货杠杆将随机发放现货杠杆减息券至用户的账户，减息券可用于低息或0息杠杆借入，用户可前往 卡券中心查看并领取减息券。 参考链接： 现货杠杆福利卡券——助您低成本体验杠杆交易 免责声明 尽管加密货币有很高的投资潜力，但也具有很高的市场风险和波动性。所有交易策略均由您自行决定并自担风险，Bitget 不承担任何责任。
比特币跌破10万美元，7亿美元加密多头被清算，XRP下跌5%
比特币于美国时段晚些时候跌破10万美元，随后在周四亚洲时段早盘稍有回升。此前，美联储暗示将在2025年进行几次降息。美联储主席杰罗姆·鲍威尔在FOMC会议后的新闻发布会上表示，根据现行法规，美联储无法持有比特币——这是在回应有关候任总统唐纳德·特朗普的比特币战略储备承诺时提到的。 “这是国会需要考虑的事情，但我们并不寻求法律变更，”鲍威尔说。今年7月的竞选活动中，特朗普表示，他的政府将保留目前持有或未来获得的全部比特币——指的是美国政府扣押的比特币储备。 鲍威尔的言论使比特币价格下跌3%，导致主要加密货币普遍下跌。XRP、狗狗币（DOGE）和Solana（SOL）跌幅高达5.5%，BNB C
香港加速加密货币交易所牌照审批，新增四项批准
简讯 证券及期货事务监察委员会表示，已根据其“快速发牌程序”批准了四家额外交易所的牌照。新批准的交易所为HKbitEX、Accumulus、DFX Labs和EX.IO。
萨尔瓦多为与国际货币基金组织达成14亿美元协议限制比特币活动
简要概述 萨尔瓦多已与国际货币基金组织达成协议，以限制各种与比特币相关的活动，换取14亿美元的贷款。协议的具体要求包括限制公共部门的比特币购买，以及逐步关闭公共比特币钱包Chivo。
加密货币价格
更多
