NFT項目Akutars資金鎖定事件簡析_FUN

據慢霧區消息，Akutars(@AkuDreams)項目拍賣合約由于多個代碼缺陷導致11,539.5枚ETH永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1.Akutars拍賣合約中存在bid與processRefunds功能，用戶分別可以進行拍賣出價與退款操作。

2.在拍賣結束后發起processRefunds退款操作時拍賣合約將遍歷出價用戶，并通過低級調用call為用戶進行退款，但并未限制這一調用的gasLimit。而未做此gasLimit限制的情況下，拍賣合約將使用發起者的全部gas進行外部調用。

暴雪娛樂總裁：暴雪沒有探索NFT的計劃:金色財經報道，暴雪娛樂總裁 Mike Ybarra 在最近的一條推文中證實，該公司沒有探索NFT的計劃。上周，多家媒體報道稱，這家以《守望先鋒》和《魔獸世界》等熱門游戲而聞名的美國視頻游戲公司要求游戲玩家完成一項調查，以了解他們對游戲內新興趨勢的看法。游戲行業，包括加密貨幣和 NFT。一些人認為調查表明這家游戲巨頭對加密貨幣產生了積極的興趣。（U.today）[2022/4/19 14:32:08]

3.但由于Akutars拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗gas的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部gas，直接導致后續退款無法正常進行。

杜嘉班納NFT拍賣吸引了多個DAO:金色財經報道，多個去中心化自治組織(DAO)已表示有興趣在9月20日參與時尚和奢侈品品牌杜嘉班納（DOLCE&GABBANA）NFT系列的拍賣。此次拍賣包括兩件威尼斯主題的定制連衣裙、三件夾克、兩頂王冠和一頂冠狀頭飾。其中五個NFT的所有者可兌換相應的實物作品。根據一位消息人士的說法，以NFT為重點的DAO很有可能會競標并獲得稀有收藏。歐洲區塊鏈投資公司Outlier Ventures的首席執行官JamieBurke表示，對于個人而言，價格可能會令人望而卻步。因此懷疑潛在買家可能是DAO或擁有社交代幣的社區。[2021/9/8 23:08:06]

4.幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗gas的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的3天后進行緊急退款。

NFT汽車游戲CryptoMotors與Animoca Brands、REVV達成合作:NFT汽車游戲CryptoMotors宣布，與區塊鏈游戲和NFT開發商Animoca Brands以及REVV達成合作。得益于這一合作關系，收藏者將能夠在7月29日使用REVV購買新的第一代霓虹跑車。7月29日將根據當天的ETH價格確定每臺跑車的價格，將以REVV定價。[2021/7/21 1:06:37]

5.在用戶退款完成后項目方可以通過claimProjectFunds功能提取合約中的拍賣所得。但拍賣合約在用戶進行bid時使用totalBids與bidIndex記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束totalBids實際上大于bidIndex。當前totalBids為5495，bidIndex僅為3669。

6.但在claimProjectFunds函數中卻要求refundProgress退款數必須大于等于totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上refundProgress是根據出價人總數進行計算的，也就是全部退款完成refundProgress也只是會等于bidIndex。這就出現了refundProgress永遠不會大于totalBids的情況。最終導致合約中11,539.5枚ETH永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致Akutars資金被永久鎖住的結果。

Tags：BIDNFTPROFUNBIDOG價格MoonieNFTumbrellaprotocolNFUN價格

Luna