驚現低級漏洞？簡析NFT項目Akutar資金鎖定事件_虛擬資產

2022年4月23日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，NFT項目方Akutar的AkuAuction合約由于智能合約本身漏洞，導致11539ETH被鎖死在合約中。成都鏈安技術團隊第一時間對事件進行了分析，結果如下。

成都鏈安技術團隊立刻進行了分析。

漏洞合約：

0xf42c318dbfbaab0eee040279c6a2588fa01a961d

#2?漏洞分析

韓國金融監督院將舉行虛擬資產公示草案和會計監管指南說明會:7月24日消息，韓國金融監督院發布公告，根據1001號財務公示披露草案和《會計監督指南》，公開了《虛擬資產主席公示最佳事例》。金融監督院將與會計有關組織單位，就虛擬資產相關會計監督方針、基準書公開草案、公示最佳事例和審計準則舉行說明會和專家座談會。[2023/7/24 15:55:00]

Akutar項目的智能合約包含2個漏洞：

3.因此如果此時有攻擊者在隊列中進行退款操作，調用call退款給攻擊者時，攻擊者在fallback中進行進行惡意的revert則會導致退款隊列卡在攻擊者這里，從而導致隊列后面的所有人都無法進行退款。

梁鳳儀：香港證監會聚焦虛擬資產等范疇，Web3和生成式AI等是重大機遇:6月5日消息，6月5日，香港證監會行政總裁梁鳳儀在香港投資基金公會的年會上，發表題為“重新思考、整備和部署：香港作為資產管理中心的發展路向”的演講。梁鳳儀表示：“香港證監會以推動增長為己任。我們了解市場上的投資產品要推陳出新，才能與時并進，迎合投資者不斷變化的需求。我們目前聚焦于三大范疇：環境、社會及管治（environmental,socialandgovernance，簡稱ESG），虛擬資產，以及人民幣計價產品。”

針對虛擬資產，梁鳳儀表示，這些產品的需求近年不斷上升，我們推出措施來鼓勵負責任的科技創新和支持金融科技業界。我們認可了首批虛擬資產期貨ETF，而這些ETF主要投資于在芝加哥商品交易所買賣的虛擬資產期貨，當中包括全球首只以太幣期貨ETF及亞洲首只比特幣期貨ETF。兩周前，我們發布了適用于持牌虛擬資產交易平臺營運者的指引。與虛擬資產期貨ETF一樣，我們采取了多項保障投資者利益的措施，例如就可供零售投資者買賣的代幣的納入準則訂明要求。

此外，盡管梁鳳儀指出投資環境仍見嚴峻，但她表示：“我們不忘危中有機，‘機’有中國經濟重啟、數碼化轉型、第三代互聯網（Web3）及生成式人工智能（generative AI）等，都正是推動創新和可持續投資的重大機遇。”[2023/6/5 21:16:10]

4.這個漏洞被人在鏈上證明有效，但隨后攻擊合約便進行了解鎖，并沒有進行攻擊利用，且公開進行了申明。

富國銀行、美國銀行和摩根大通等銀行正研發一款數字錢包:1月23日消息，富國銀行 (WFC.N)、美國銀行 (BAC.N)、摩根大通 (JPM.N) 等銀行正在與 PayPal、Apple Pay 合作研發一款數字錢包。[2023/1/23 11:27:09]

漏洞二：

該漏洞也是導致價值約3400萬美元的ETH資產被鎖死在合約中的元兇。

1.在claimProjectFunds函數中，該函數主要用于項目方提款。為了避免項目方權限過大，在用戶完成提款之前就將合約中的資產全部轉走導致用戶無法退款，所有的退款操作應全部完成之后項目方才能夠提款。業務邏輯設計上來說，是沒有問題的。然而，在具體的代碼實現中，當前的代碼容易受到漏洞一的影響，導致項目方無法提款，不過這只是潛在的風險，本次資金鎖死的元兇不是這個原因。

2.注意函數中第620行代碼：require此處refundProgress表示已經處理了多少個用戶的退款，totalBids表示所有用戶總投標了多少個NFT。注意由于一個用戶可以投標多個NFT，導致單從數值上比較，refundProgress可能小于totalBids。

而再來看看退款函數processRefunds中：require(_refundProgress<_bidIndex);bidIndex表示所有參與競標的用戶，refundProgress永遠不會高于bidIndex。

此時來看看bidIndex的值，為3669：

totalBids的值為5495：

3.所以refundProgress>=5495且refundProgress<3669這個判斷條件永遠不會成立，最終導致項目方團隊將永遠無法執行后續的提款操作。此處應將refundProgress與bidIndex做對比，開發者犯了一個很低級的錯誤。最終，導致項目方11539ETH(價值約3400萬美元)被鎖定無法提取。

#3?總結

針對本次事件，成都鏈安技術團隊建議：

1.開發者應具備基本的安全開發意識，熟悉智能合約開發應注意的安全問題；

2.在合約設計和實現時，注意代碼實現的正確性，項目上線前，可選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

Tags：虛擬資產PROFUNUND虛擬資產龍頭PROT價格g9tro Crowdfunding PlatformTHUNDRR幣

ADA