以太坊價格 以太坊價格
Ctrl+D 以太坊價格
ads

NFT:驚現低級漏洞?簡析NFT項目Akutar資金鎖定事件

Author:

Time:1900/1/1 0:00:00

2022年4月23日,成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示,NFT項目方Akutar的AkuAuction合約由于智能合約本身漏洞,導致11539ETH被鎖死在合約中。成都鏈安技術團隊第一時間對事件進行了分析,結果如下。

成都鏈安技術團隊立刻進行了分析。

漏洞合約:

0xf42c318dbfbaab0eee040279c6a2588fa01a961d

#2?漏洞分析

納斯達克上市區塊鏈公司Bit Brother Limited將股票代碼改為“BETS”:金色財經報道,納斯達克上市區塊鏈公司Bit Brother Limited宣布,根據公司未來戰略和業務發展的需要已將其股票代碼從“ BTB”改為“BETS”, 自2023 年 9 月 8 日星期五起,公司 A 類普通股將以新代碼“BETS”在納斯達克交易,現有股東無需就股票代碼變更采取任何行動。[2023/9/7 13:23:38]

Akutar項目的智能合約包含2個漏洞:

報告:優質的NFT具有很強的社區共識和團隊背景和鮮明的藝術風格:金色財經報道,ParaSpace和BitKeep最近發布的一份報告表示,NFT 是一個新市場,缺乏歷史數據和公認的估值分析方法,導致定價困難。即使在同一 NFT 系列中,基于主觀觀點對稀有性的不同看法也導致了巨大的價格差異。優質的NFT往往具有很強的社區共識和團隊背景和鮮明的藝術風格。但普通用戶參與藍籌或熱門NFT的門檻越來越高。現在已經出現了一些解決方案,比如NFT碎片化, NFT 質押,以及 NFT 流動性平臺。[2023/6/6 21:18:01]

3.因此如果此時有攻擊者在隊列中進行退款操作,調用call退款給攻擊者時,攻擊者在fallback中進行進行惡意的revert則會導致退款隊列卡在攻擊者這里,從而導致隊列后面的所有人都無法進行退款。

美國演員Billy Murray在Coinbase上的傳記NFT已售罄:金色財經消息,美國演員Billy Murray在Coinbase上的傳記NFT已售罄,Murray于7月15日在Coinbase NFT平臺上發布了他的首個NFT。每個售價1.5ETH的NFT目前已經售罄。

據介紹,Murray的NFT系列名為Bill Murray 1000,是一個獨特的傳記NFT項目,講述了這位標志性演員、喜劇演員和作家的故事。(nftevening)[2022/7/18 2:19:33]

4.這個漏洞被人在鏈上證明有效,但隨后攻擊合約便進行了解鎖,并沒有進行攻擊利用,且公開進行了申明。

漏洞二:

該漏洞也是導致價值約3400萬美元的ETH資產被鎖死在合約中的元兇。

1.在claimProjectFunds函數中,該函數主要用于項目方提款。為了避免項目方權限過大,在用戶完成提款之前就將合約中的資產全部轉走導致用戶無法退款,所有的退款操作應全部完成之后項目方才能夠提款。業務邏輯設計上來說,是沒有問題的。然而,在具體的代碼實現中,當前的代碼容易受到漏洞一的影響,導致項目方無法提款,不過這只是潛在的風險,本次資金鎖死的元兇不是這個原因。

2.注意函數中第620行代碼:require此處refundProgress表示已經處理了多少個用戶的退款,totalBids表示所有用戶總投標了多少個NFT。注意由于一個用戶可以投標多個NFT,導致單從數值上比較,refundProgress可能小于totalBids。

而再來看看退款函數processRefunds中:require(_refundProgress<_bidIndex);bidIndex表示所有參與競標的用戶,refundProgress永遠不會高于bidIndex。

此時來看看bidIndex的值,為3669:

totalBids的值為5495:

3.所以refundProgress>=5495且refundProgress<3669這個判斷條件永遠不會成立,最終導致項目方團隊將永遠無法執行后續的提款操作。此處應將refundProgress與bidIndex做對比,開發者犯了一個很低級的錯誤。最終,導致項目方11539ETH(價值約3400萬美元)被鎖定無法提取。

#3?總結

針對本次事件,成都鏈安技術團隊建議:

1.開發者應具備基本的安全開發意識,熟悉智能合約開發應注意的安全問題;

2.在合約設計和實現時,注意代碼實現的正確性,項目上線前,可選擇專業的安全審計公司進行全面的安全審計,規避安全風險。

Tags:NFTFUNFUNDUND無聊猿nft交易平臺FUNDZ幣fund幣圈SFUND價格

歐易okex官網
SEC:現貨網格使用教程

什么是網格交易??如何創建現貨網格交易??名詞解釋?實例說明?常見問題?網格交易的風險??? 什么是網格交易?? 網格交易是一種量化交易策略,其運行邏輯是在一定的價格區間內不斷自動低買高賣.

1900/1/1 0:00:00
Venture Capital DAO: Web3時代的風險投資新范式?

原文作者:阿法兔 原文來源:阿法兔研究筆記YCombinator、BVP都成立了自己的DAO。那么,風險投資DAO到底是個什么樣的存在?如果從歷史的角度看整個行業,未來風險投資還會有新架構和模式.

1900/1/1 0:00:00
PIT:揭秘「牛市贏家」LD CAPITAL:野蠻生長背后的秘密

“你看,《BIGTIME》的這個畫質多漂亮!”坐在對面的投資人一邊展示測試視頻,一邊用湖南腔的普通話介紹著,顯得格外欣喜,他所在的機構僅在《BIGTIME》一個鏈游項目上便可斬獲上百倍股權回報.

1900/1/1 0:00:00
OIN:PearCoin 將開啟 FZT 交易,上線 FZT/USDT 交易對

親愛的用戶: PearCoin已于2022年4月26日18:00開啟FZT充值,預計于2022年4月29日20:00開啟FZT交易,并同步上線FZT/USDT交易對,提現的具體時間待定.

1900/1/1 0:00:00
PTI:Optimism入門指南

本文來自Bankless?,原文作者:WilliamM.Peaster,由Odaily星球日報譯者Katie辜編譯。今天,第二大兼容EVM的L2鏈Optimism正式發幣,并宣布了空投細則.

1900/1/1 0:00:00
REA:Gate.io 非首發上線Startup項目Realm (REALM)及免費認購規則公告(免費瓜分832,524 個REAL)

關於Gate.ioStartup免費空投計劃爲回饋平臺用戶,Gate.io上線“免費空投計劃”,在Startup區不定期進行區塊鏈項目的免費空投計劃.

1900/1/1 0:00:00
ads