NFT 項目 Akutar 因合約漏洞 近 10 億台幣遭永久鎖定

Akutar NFT

摘要目錄

近期新 NFT 項目 「 Akutar 」因合約漏洞導致高達 11,539 顆以太幣( ETH )(價值約 3,400 萬美元)的資金慘遭永久說定,項目方及用戶皆無法取得資金和退款。

由美國大聯盟前職業棒球選手 Micah Johnson 創作的加密 NFT 角色 Aku 在本月 23 日宣布推出延伸 NFT 項目「 Akutars 」。該項目共推出 1.5 萬個獨特的 3D 頭像 NFT ,并通過可退款荷蘭式拍賣公售,但由於合約出現漏洞,被作惡者發現并利用後導致 11,539 顆 ETH 被永久鎖定在 AkuDreams 合約中,目前無論是項目方還是用戶都無法將資金取出。

可退款荷蘭式拍賣公售

Akutar 採用可退款荷蘭式拍賣公售,即價格按照特定的時間間隔內逐漸向下調整。 Akutar 公售價格為 3.5 ETH 起標,每 6 分鐘降低 0.1 ETH ,在結束拍賣時最低出價將成為 NFT 的統一出售價格,而所有出價更高的得標者均可獲得差價退款。此外, Akutar Pass NFT 的持有者還可額外獲得 0.5 ETH 的折扣。

合約存在 2 關鍵漏洞

區塊鏈資安公司 BlockSec 針對此事件作出分析表示, AkuDreams 合約存在兩個嚴重的漏洞,第一個漏洞會造成 Dos 攻擊,第二個漏洞將導致項目資金被永久鎖定。

「第一個漏洞存在於 processRefunds 函數中。此函數存在一個循環并將會退還每個投標用戶的資金。但是,作惡者可從中介入導致所有用戶的退款失敗。幸運的是,這個漏洞還沒有被利用。

第二個漏洞存在於 claimProjectFunds 函數中,項目所有者本該通過此設計在合同中取回 ETH 。但因設計合約時出現錯誤,設計者因使用 _bidIndex 而不是 totalBids 来比较 refundProgress 。由於此邏輯錯誤,項目方索取 ETH 的要求將永遠不會被滿足,因此導致合同中的 11,539.5 ETH 可能會被永遠鎖定。 」

BlockSec - Akutars contract vulnerability
BlockSec 對於此事件的分析。圖片來源:BlockSec Team Medium

早有開發者提醒合約漏洞

據開發者 @0xBender 透露, Akutar 開發團隊忽略了早前發現合約漏洞的推特用戶 @notchefbob 警告,並在公售前將此警告稱為 FUD ( Fear 、Uncertainty、doubt )。

事後,開發團隊認為這次攻擊事件並非惡意,只是相應器官方注意,攻擊者在官方展開調查後就停止利用該漏洞了。團隊也承認此次攻擊是他們的錯誤,並將通過合約介入巷社區內發放退款。然而,原本要給予 Akutar Pass 的 0.5 ETH 折扣尚未發放,約已鎖住剩餘資金,他們已無法獲取。

官方也進一步表示目前正在商討下一步, NFT 仍會鑄造分發與開盒,並且就此事件進行後續處理。

分享至:
Share on telegram
Telegram
Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn

Leave a Comment

Your email address will not be published. Required fields are marked *