UND:驚現低級漏洞？簡析NFT項目Akutar資金鎖定事件

2022年4月23日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，NFT項目方Akutar的AkuAuction合約由于智能合約本身漏洞，導致11539ETH被鎖死在合約中。成都鏈安技術團隊第一時間對事件進行了分析，結果如下。

成都鏈安技術團隊立刻進行了分析。

漏洞合約：

0xf42c318dbfbaab0eee040279c6a2588fa01a961d

#2?漏洞分析

金管局在今年2月協助香港特區政府成功發售8億港元的代幣化綠色債券:金色財經報道，香港金融管理局24日發表《香港債券市場代幣化》報告，總結在發售特區政府首批代幣化綠色債券中汲取的經驗，以及概述為推動代幣化技術在香港債券市場更廣泛應用而進行的下一步規劃。

報告探討了如何進一步促進香港債券市場代幣化的發展，包括探討更廣泛的用例、處理不同平臺與系統之間的協同問題、優化香港的法律及監管框架等。金管局表示，現有法律及監管制度可能要進行一定調整，以適應以至促進相關技術的應用。金管局將聯同特區政府與業界合作，繼續進行代幣化債券發行，推進代幣化普及應用。

金管局助理總裁(外事)許懷志表示，金管局在今年2月協助香港特區政府成功發售8億港元的代幣化綠色債券，展示了在香港真實資本市場交易中使用分布式分類帳技術(DLT)的可行性。金管局計劃繼續利用DLT發行債券，而成功發行零售債券將是最終目標。[2023/8/25 10:40:55]

Akutar項目的智能合約包含2個漏洞：

Web3支付公司Slash去年完成150萬美元種子輪融資，現已啟動A輪融資:金色財經報道，Web3支付公司Slash在去年熊市期間完成150萬美元種子輪融資，MZWeb3Fund和幾位私人投資者參投，這筆交易直到最近才被公開。據悉該公司表示正在進行A輪融資，但融資規模和參投方暫未披露。

Slash Web3 Payments目前支持至少6種不同協議的1400多種代幣，該支付服務不會向商家收取任何“服務安裝費”或交易費。（EINPresswire.com）[2023/2/13 12:03:19]

3.因此如果此時有攻擊者在隊列中進行退款操作，調用call退款給攻擊者時，攻擊者在fallback中進行進行惡意的revert則會導致退款隊列卡在攻擊者這里，從而導致隊列后面的所有人都無法進行退款。

Bitso在2022年上半年處理了墨西哥和美國之間10億美元的加密匯款:金色財經消息，拉丁美洲加密貨幣交易所Bitso周四宣布，在2022年上半年處理了墨西哥和美國之間10億美元的加密貨幣匯款。該公司表示，與2021年前六個月相比，該金額增長了400%，據該公司稱，Bitso在2022年第一季度處理了4%的全球匯款到墨西哥，并補充說，它希望到2023年達到10%的市場份額。

Bitso在墨西哥、巴西、阿根廷和哥倫比亞開展業務，6月份用戶達到500萬。該公司最近解雇了80名員工，理由是其“長期業務戰略”，但它沒有提到融資的任何困難。[2022/6/17 4:33:36]

4.這個漏洞被人在鏈上證明有效，但隨后攻擊合約便進行了解鎖，并沒有進行攻擊利用，且公開進行了申明。

漏洞二：

該漏洞也是導致價值約3400萬美元的ETH資產被鎖死在合約中的元兇。

1.在claimProjectFunds函數中，該函數主要用于項目方提款。為了避免項目方權限過大，在用戶完成提款之前就將合約中的資產全部轉走導致用戶無法退款，所有的退款操作應全部完成之后項目方才能夠提款。業務邏輯設計上來說，是沒有問題的。然而，在具體的代碼實現中，當前的代碼容易受到漏洞一的影響，導致項目方無法提款，不過這只是潛在的風險，本次資金鎖死的元兇不是這個原因。

2.注意函數中第620行代碼：require此處refundProgress表示已經處理了多少個用戶的退款，totalBids表示所有用戶總投標了多少個NFT。注意由于一個用戶可以投標多個NFT，導致單從數值上比較，refundProgress可能小于totalBids。

而再來看看退款函數processRefunds中：require(_refundProgress<_bidIndex);bidIndex表示所有參與競標的用戶，refundProgress永遠不會高于bidIndex。

此時來看看bidIndex的值，為3669：

totalBids的值為5495：

3.所以refundProgress>=5495且refundProgress<3669這個判斷條件永遠不會成立，最終導致項目方團隊將永遠無法執行后續的提款操作。此處應將refundProgress與bidIndex做對比，開發者犯了一個很低級的錯誤。最終，導致項目方11539ETH(價值約3400萬美元)被鎖定無法提取。

#3?總結

針對本次事件，成都鏈安技術團隊建議：

1.開發者應具備基本的安全開發意識，熟悉智能合約開發應注意的安全問題；

2.在合約設計和實現時，注意代碼實現的正確性，項目上線前，可選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

Tags：UNDFUNFUNDESSSWISSNFTFUND價格KateFundcoinFUNDZ幣Traders Global Business

狗狗幣價格