近期新 NFT 項目 「 Akutar 」因合約漏洞導致高達 11,539 顆以太幣( ETH )(價值約 3,400 萬美元)的資金慘遭永久說定,項目方及用戶皆無法取得資金和退款。
由美國大聯盟前職業棒球選手 Micah Johnson 創作的加密 NFT 角色 Aku 在本月 23 日宣布推出延伸 NFT 項目「 Akutars 」。該項目共推出 1.5 萬個獨特的 3D 頭像 NFT ,并通過可退款荷蘭式拍賣公售,但由於合約出現漏洞,被作惡者發現并利用後導致 11,539 顆 ETH 被永久鎖定在 AkuDreams 合約中,目前無論是項目方還是用戶都無法將資金取出。
$34 million, or 11,539 eth, is permanently locked into the AkuDreams contract forever. It cannot be retrieved by individual users or by the dev team.
— foobar (@0xfoobar) April 23, 2022
The refund processing, which is complete, sets each bid status to 1. pic.twitter.com/6GnQPnddC6
可退款荷蘭式拍賣公售
Akutar 採用可退款荷蘭式拍賣公售,即價格按照特定的時間間隔內逐漸向下調整。 Akutar 公售價格為 3.5 ETH 起標,每 6 分鐘降低 0.1 ETH ,在結束拍賣時最低出價將成為 NFT 的統一出售價格,而所有出價更高的得標者均可獲得差價退款。此外, Akutar Pass NFT 的持有者還可額外獲得 0.5 ETH 的折扣。
The Akutar True Dutch Auction:
— Aku :: Akutars (@AkuDreams) April 21, 2022
⭐️ Starting Price: 3.5E
⭐️ .1E drop every 6 Minutes
⭐️ The lowest bid sets the price for everyone. All higher bids will be refunded!
&
⭐ .5E Discount off the final price for Akutar Pass Holders. Ex: 3 mints with 3 passes = 1.5E off#Akutars pic.twitter.com/zEWo994uD4
合約存在 2 關鍵漏洞
區塊鏈資安公司 BlockSec 針對此事件作出分析表示, AkuDreams 合約存在兩個嚴重的漏洞,第一個漏洞會造成 Dos 攻擊,第二個漏洞將導致項目資金被永久鎖定。
「第一個漏洞存在於 processRefunds 函數中。此函數存在一個循環并將會退還每個投標用戶的資金。但是,作惡者可從中介入導致所有用戶的退款失敗。幸運的是,這個漏洞還沒有被利用。
第二個漏洞存在於 claimProjectFunds 函數中,項目所有者本該通過此設計在合同中取回 ETH 。但因設計合約時出現錯誤,設計者因使用 _bidIndex 而不是 totalBids 来比较 refundProgress 。由於此邏輯錯誤,項目方索取 ETH 的要求將永遠不會被滿足,因此導致合同中的 11,539.5 ETH 可能會被永遠鎖定。 」

早有開發者提醒合約漏洞
據開發者 @0xBender 透露, Akutar 開發團隊忽略了早前發現合約漏洞的推特用戶 @notchefbob 警告,並在公售前將此警告稱為 FUD ( Fear 、Uncertainty、doubt )。
事後,開發團隊認為這次攻擊事件並非惡意,只是相應器官方注意,攻擊者在官方展開調查後就停止利用該漏洞了。團隊也承認此次攻擊是他們的錯誤,並將通過合約介入巷社區內發放退款。然而,原本要給予 Akutar Pass 的 0.5 ETH 折扣尚未發放,約已鎖住剩餘資金,他們已無法獲取。
官方也進一步表示目前正在商討下一步, NFT 仍會鑄造分發與開盒,並且就此事件進行後續處理。
4. We are locked down and consulting with some of the best on next steps. We will mint your NFTs, and reveal them as soon as humanly possible. We will also be working to issue funds for those passholders who bid with the intention of securing a price .5 ETH below the final price.
— Aku :: Akutars (@AkuDreams) April 23, 2022