NFT項目Akutars資金鎖定事件簡析_NFT:PARADOX NFT BSC

據慢霧區消息，Akutars(@AkuDreams)項目拍賣合約由于多個代碼缺陷導致11,539.5枚ETH永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1.Akutars拍賣合約中存在bid與processRefunds功能，用戶分別可以進行拍賣出價與退款操作。

2.在拍賣結束后發起processRefunds退款操作時拍賣合約將遍歷出價用戶，并通過低級調用call為用戶進行退款，但并未限制這一調用的gasLimit。而未做此gasLimit限制的情況下，拍賣合約將使用發起者的全部gas進行外部調用。

阿迪達斯將與英格蘭克勞利鎮足球俱樂部合作發行NFT:金色財經報道，阿迪達斯宣布與今年初收購英格蘭克勞利鎮足球俱樂部的美國加密貨幣投資者集團 Wagmi United 達成合作，并將為該球隊創建 NFT，球迷可以收集這些 NFT 來從阿迪達斯獲得實體和數字商品。克勞利鎮足球俱樂部首批 NFT 將于 7 月 6 日首發，該系列與阿迪達斯合作設計和生產，NFT 持有者將能對克勞利鎮俱樂部面臨的關鍵問題和未來發展進行投票。（sporttechie）[2022/7/1 1:43:14]

3.但由于Akutars拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗gas的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部gas，直接導致后續退款無法正常進行。

NFT交易平臺GhostMarket集成Polygon網絡:據NFT交易平臺GhostMarket官方消息，GhostMarket現已完全集成至Polygon網絡。此次集成主要功能包括：-易于登錄，與MetaMask,WalletConnect和WalletLink完全兼容-一次性匯總所有錢包和NFT作品-交易ERC721或ERC1155NFT作品-在GhostMarket的GHOST集合中鑄造屬于自己的ERC721或ERC1155NFT作品-對NFT作品(在售或已出售)進行報價，報價目前僅限于USDC/DAI/WETH-NFT作品拍賣(目前交易僅限于使用MATIC)此外開發團隊還表示，通過啟用MetaMask錢包，將會拓展更廣泛的用戶，用戶也將更容易購買商品。[2021/8/6 1:39:18]

4.幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗gas的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的3天后進行緊急退款。

Waterdrip Capital鄭玉山：Defi和NFT結合可以改變挖礦代幣的拋壓:金色財經現場報道，4月10日，金色財經主辦的共為創新大會“DeFi的創新進階”專場于上海舉辦，會上Waterdrip Capital Founding Partner鄭玉山分享表示，Defi的增長主要看兩個方向:第一個是Defi和NFT結合，普通的Defi挖礦，挖礦所得的代幣，拋壓會比較大，但如果挖礦所得是NFT，不會造成同一個交易維度的拋壓。第二個是資產上鏈借貸，普通的抵押借貸，都是抵押一個資產生成一個資產，兩個資產都是流動性比較好的資產，但借貸的規劃，一般會把偏向把流動性不好的資產上鏈借貸流動性好的資產。[2021/4/10 20:04:45]

5.在用戶退款完成后項目方可以通過claimProjectFunds功能提取合約中的拍賣所得。但拍賣合約在用戶進行bid時使用totalBids與bidIndex記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束totalBids實際上大于bidIndex。當前totalBids為5495，bidIndex僅為3669。

6.但在claimProjectFunds函數中卻要求refundProgress退款數必須大于等于totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上refundProgress是根據出價人總數進行計算的，也就是全部退款完成refundProgress也只是會等于bidIndex。這就出現了refundProgress永遠不會大于totalBids的情況。最終導致合約中11,539.5枚ETH永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致Akutars資金被永久鎖住的結果。

Tags：NFTBIDUNDPROPARADOX NFT BSCBID價格SQUIDBOUNDXPRO

火幣網下載官方app