NFT項目Akutars資金鎖定事件簡析_BID:NFTFY

據慢霧區消息，Akutars(@AkuDreams)項目拍賣合約由于多個代碼缺陷導致11,539.5枚ETH永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1.Akutars拍賣合約中存在bid與processRefunds功能，用戶分別可以進行拍賣出價與退款操作。

2.在拍賣結束后發起processRefunds退款操作時拍賣合約將遍歷出價用戶，并通過低級調用call為用戶進行退款，但并未限制這一調用的gasLimit。而未做此gasLimit限制的情況下，拍賣合約將使用發起者的全部gas進行外部調用。

NFT游戲工作室Vulcan Forged本月已推出原生區塊鏈Elysium:12月12日消息，NFT游戲工作室Vulcan Forged發推稱，2022年將是元宇宙之年。除了創建我們自己的游戲和VulcanVerse以外，我們還在本月推出了自己的區塊鏈Elysium，支持免費NFT交易，免費鑄造，作為gas的LAVA代幣以及測試網。此外，還有另外8個合作伙伴即將加入我們。[2021/12/12 7:33:58]

3.但由于Akutars拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗gas的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部gas，直接導致后續退款無法正常進行。

絲綢之路創始人Ross Ulbricht將于12月2日-8日拍賣其NFT:12月1日消息，暗網絲綢之路（Silk Road）創始人Ross Ulbricht計劃于12月2日至8日在NFT市場SuperRare上拍賣其NFT收藏品Ross Ulbricht Genesis Collection。該收藏品包括11件Ulbricht手工制作的藝術品，然后他的支持者鑄造成NFT的形式。這些藝術品是在Ulbricht從童年到入獄的不同階段創作。早期作品描繪了漫畫人物和動物，而后期作品則描繪了法庭審判的場景以及他入獄后的內心感受。

拍賣所得將用于資助一個信托基金，以支持Ulbricht從監獄中獲釋。這些資金還將幫助發起捐助者建議的慈善基金Art4Giving，該基金“致力于減輕被監禁者及其家人的痛苦。（Cointelegraph）[2021/12/1 12:43:41]

4.幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗gas的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的3天后進行緊急退款。

NFT 概念板塊今日平均漲幅為2.76%:金色財經行情顯示，NFT 概念板塊今日平均漲幅為2.76%。16個幣種中9個上漲，7個下跌，其中領漲幣種為：MEME(+33.08%)、SLP(+28.29%)、NASH(+11.32%)。領跌幣種為：RARI(-22.19%)、LAR(-16.59%)、MIX(-2.72%)。[2021/2/2 18:41:22]

5.在用戶退款完成后項目方可以通過claimProjectFunds功能提取合約中的拍賣所得。但拍賣合約在用戶進行bid時使用totalBids與bidIndex記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束totalBids實際上大于bidIndex。當前totalBids為5495，bidIndex僅為3669。

6.但在claimProjectFunds函數中卻要求refundProgress退款數必須大于等于totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上refundProgress是根據出價人總數進行計算的，也就是全部退款完成refundProgress也只是會等于bidIndex。這就出現了refundProgress永遠不會大于totalBids的情況。最終導致合約中11,539.5枚ETH永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致Akutars資金被永久鎖住的結果。

Tags：BIDNFTPROUNDBidao Smart ChainNFTFYProtector RogeSeedify.fund

酷幣下載