NFT項目Akutars資金鎖定事件簡析_BID

據慢霧區消息，Akutars(@AkuDreams)項目拍賣合約由于多個代碼缺陷導致11,539.5枚ETH永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1.Akutars拍賣合約中存在bid與processRefunds功能，用戶分別可以進行拍賣出價與退款操作。

2.在拍賣結束后發起processRefunds退款操作時拍賣合約將遍歷出價用戶，并通過低級調用call為用戶進行退款，但并未限制這一調用的gasLimit。而未做此gasLimit限制的情況下，拍賣合約將使用發起者的全部gas進行外部調用。

Ordinals Wallet向早期用戶空投Pixel Pepes NFT:5月10日消息，比特幣錢包服務商Ordinals Wallet在其社交平臺宣布，已向產品發布首周即參與交易的用戶空投Pixel Pepes NFT。據相關頁面信息，Pixel Pepes NFT地板價暫 0.35 BTC，其 24 小時成交額為28.57BTC。[2023/5/10 14:54:55]

3.但由于Akutars拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗gas的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部gas，直接導致后續退款無法正常進行。

南美航空公司在Algorand區塊鏈上采用TravelX的NFTickets:金色財經報道，南美航空航空公司 Flybondi 通過區塊鏈 Algorand 技術使用 TravelX 的創新技術以 NFTickets 的形式分發機票。該航空公司成為第一家充分利用 NFTicket 技術的航空公司，全球超過 60 家航空公司正在與 TravelX 進行對話以探索其采用，并且在該行業中首次為航空公司的機票庫存創建二級市場。[2023/3/30 13:35:34]

4.幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗gas的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的3天后進行緊急退款。

CryptoPunk #5822被《吉尼斯世界紀錄》認定為迄今為止最昂貴的NFT收藏品:11月2日消息，據《吉尼斯世界紀錄》官方，CryptoPunk #5822已被認定為迄今為止最昂貴的NFT收藏品，CryptoPunk #5822的購買價格高達8000ETH，以2022年2月的以太坊價格最高峰值時計算約為2370萬美元，買家是區塊鏈技術初創公司Chain首席執行官Deepak Thapliyal。

此前報道，吉尼斯世界紀錄已將比特幣和一系列區塊鏈事件列入2023年《吉尼斯世界紀錄大全》中“加密狂”(Cryptomania)類別中。[2022/11/2 12:07:08]

5.在用戶退款完成后項目方可以通過claimProjectFunds功能提取合約中的拍賣所得。但拍賣合約在用戶進行bid時使用totalBids與bidIndex記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束totalBids實際上大于bidIndex。當前totalBids為5495，bidIndex僅為3669。

6.但在claimProjectFunds函數中卻要求refundProgress退款數必須大于等于totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上refundProgress是根據出價人總數進行計算的，也就是全部退款完成refundProgress也只是會等于bidIndex。這就出現了refundProgress永遠不會大于totalBids的情況。最終導致合約中11,539.5枚ETH永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致Akutars資金被永久鎖住的結果。

Tags：BIDFUNNFTPROBIDR價格FUNDZnft幣有潛力嗎Apron Network

幣安下載