驚現低級漏洞？簡析NFT項目Akutar資金鎖定事件_PRO:FUN

2022年4月23日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，NFT項目方Akutar的AkuAuction合約由于智能合約本身漏洞，導致11539ETH被鎖死在合約中。成都鏈安技術團隊第一時間對事件進行了分析，結果如下。

成都鏈安技術團隊立刻進行了分析。

漏洞合約：

0xf42c318dbfbaab0eee040279c6a2588fa01a961d

#2?漏洞分析

Brian Armstrong：歐盟的加密法規已將歐盟及其成員國置于領先地位:金色財經報道，Coinbase首席執行官Brian Armstrong在第一季度財報電話會議上表示，解決監管問題對美國來說很重要，因為包括金融中心在內的其他國家都在爭奪加密貨幣領域的領先地位。雖然像歐盟這樣的超國家組織已經通過了全面的加密監管，但英國、香港和新加坡等地區變得比美國更加樂觀。Armstrong認為，歐盟的加密資產市場 ( MiCA ) 法規已將歐盟及其成員國置于領先地位。[2023/5/7 14:47:54]

Akutar項目的智能合約包含2個漏洞：

Crypto.com：曾誤將28.5萬枚ETH發送至Gate.io，隨后已協商退回:11月13日消息，據推特用戶jconorgrogan發推稱鏈上數據顯示Crypto.com某地址曾于10月份將約28.5萬枚ETH轉入交易所Gate.io地址，隨后數天后Gate.io將其退回Crypto.com另一地址，但這兩個地址隨后均出現在Crypto.com公布的離線儲存用戶資產的冷錢包地址名單中。

Crypto.com首席執行官Kris回復稱，這應該是一個新的冷錢包地址，但被發送到一個白名單的外部交易所地址。我們與Gate.io團隊合作，資金隨后被退回到我們的冷錢包。為了防止這種情況再次發生，我們實施了新的流程和功能。[2022/11/13 12:57:54]

3.因此如果此時有攻擊者在隊列中進行退款操作，調用call退款給攻擊者時，攻擊者在fallback中進行進行惡意的revert則會導致退款隊列卡在攻擊者這里，從而導致隊列后面的所有人都無法進行退款。

加密對沖基金Invictus Capital拖欠TrueFi價值100萬美元的穩定幣貸款:11月2日消息，據外媒報道，根據TrueFi的貸款數據儀表板，加密對沖基金Invictus Capital未能償還去中心化貸款協議TrueFi的貸款。該筆貸款為價值100萬美元的穩定幣BUSD，原定于10月30日到期，該債務是無抵押的，這意味著Invictus沒有抵押任何資產，而是通過其當時的聲譽和良好的財務狀況獲得的貸款。TrueFi曾在10月初警告投資者Invictus可能無法償還貸款，但尚未對其發出違約通知。

報道稱，Invictus Capital總部位于開曼群島的母公司New World Holdings進入自愿清算程序，此前該公司在Terra數十億美元內爆引發的加密貨幣崩潰中遭受了打擊。Invictus曾將投資者資金轉移到了Terra失敗的穩定幣USTC，以及7月份破產的加密借貸平臺 Celsius Network。（CoinDesk）[2022/11/2 12:07:38]

4.這個漏洞被人在鏈上證明有效，但隨后攻擊合約便進行了解鎖，并沒有進行攻擊利用，且公開進行了申明。

漏洞二：

該漏洞也是導致價值約3400萬美元的ETH資產被鎖死在合約中的元兇。

1.在claimProjectFunds函數中，該函數主要用于項目方提款。為了避免項目方權限過大，在用戶完成提款之前就將合約中的資產全部轉走導致用戶無法退款，所有的退款操作應全部完成之后項目方才能夠提款。業務邏輯設計上來說，是沒有問題的。然而，在具體的代碼實現中，當前的代碼容易受到漏洞一的影響，導致項目方無法提款，不過這只是潛在的風險，本次資金鎖死的元兇不是這個原因。

2.注意函數中第620行代碼：require此處refundProgress表示已經處理了多少個用戶的退款，totalBids表示所有用戶總投標了多少個NFT。注意由于一個用戶可以投標多個NFT，導致單從數值上比較，refundProgress可能小于totalBids。

而再來看看退款函數processRefunds中：require(_refundProgress<_bidIndex);bidIndex表示所有參與競標的用戶，refundProgress永遠不會高于bidIndex。

此時來看看bidIndex的值，為3669：

totalBids的值為5495：

3.所以refundProgress>=5495且refundProgress<3669這個判斷條件永遠不會成立，最終導致項目方團隊將永遠無法執行后續的提款操作。此處應將refundProgress與bidIndex做對比，開發者犯了一個很低級的錯誤。最終，導致項目方11539ETH(價值約3400萬美元)被鎖定無法提取。

#3?總結

針對本次事件，成都鏈安技術團隊建議：

1.開發者應具備基本的安全開發意識，熟悉智能合約開發應注意的安全問題；

2.在合約設計和實現時，注意代碼實現的正確性，項目上線前，可選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

Tags：PROFUNUNDFUNDRouter ProtocolFund Token CoinIFUNDg9tro Crowdfunding Platform

KuCoin