BID:NFT項目Akutars資金鎖定事件簡析_NFTY價格

據慢霧區消息，Akutars(@AkuDreams) 項目拍賣合約由于多個代碼缺陷導致 11,539.5 枚 ETH 永久無法取出。慢霧安全團隊進行分析后以簡訊的形式分享給大家。

1. Akutars 拍賣合約中存在 bid 與 processRefunds 功能，用戶分別可以進行拍賣出價與退款操作。

2. 在拍賣結束后發起 processRefunds 退款操作時拍賣合約將遍歷出價用戶，并通過低級調用 call 為用戶進行退款，但并未限制這一調用的 gasLimit。而未做此 gasLimit 限制的情況下，拍賣合約將使用發起者的全部 gas 進行外部調用。

數據：本周NFT銷售額下降5.4%至1.93億美元:金色財經報道，與上周相比，本周NFT銷售額下降了5.44%，19個不同區塊鏈的銷售額為1.9308億美元。Cryptoslam.io統計顯示，30天銷售額普遍下降，總銷售額為9.1254億美元，比上月下降超過29%。本周NFT銷售額排名前五的區塊鏈是以太坊（1.07億美元）、Solana（2600萬美元）、Polygon（600萬美元）、Immutable X（530萬美元）和Cardano（316萬美元）。[2023/3/27 13:27:52]

3. 但由于 Akutars 拍賣合約并不限制合約參與拍賣，因此“惡意用戶”可以使用合約參與拍賣，并在其合約的接收以太函數中寫入惡意消耗 gas 的邏輯，使得在進行退款流程時觸發此用戶合約，進而惡意消耗了調用發起者的全部 gas，直接導致后續退款無法正常進行。

Web3游戲DAO Game7推出開源NFT標準“NFT Inventory”:金色財經報道，Web3游戲DAO Game7宣布與Web3游戲經濟基礎設施初創公司Moonstream.to合作推出開源NFT標準“NFT Inventory”，該標準能讓游戲開發人員快速擴展游戲，無需運行復雜的智能合約升級、或對游戲服務器進行重大調整；此外，該標準也可以讓游戲設計師自定義游戲內資產，目前支持ERC-1155（用例包括游戲武器、盔甲、藥水）、ERC-721（獨特徽章、特殊頭銜、玩家等級）和 ERC-20（金幣、xp 等）代幣。

據此前報道，Game7由鏈游平臺Forte提議與Alameda等投入5億美元構建，去年底Game7啟動了1億美元資助計劃以加速Web3游戲開發。（prweb）[2023/2/12 12:01:54]

4. 幸運的是此“惡意用戶”僅僅只是做了風險驗證測試，最終解除了惡意消耗 gas 的邏輯使得退款可以繼續順利進行。當然用戶也可以在拍賣結束的 3 天后進行緊急退款。

邁凱倫成立元宇宙工作室MSO LAB，近期將推出首個限量版創世NFT系列:金色財經報道，邁凱倫已成立元宇宙工作室MSO Lab，旨在推動邁凱倫元宇宙戰略的下一步發展。MSO Lab將創建一個全新的Web 3數字社區，同時還將與邁凱倫公司設計團隊合作發行獨家限量版McLaren NFT，第一款限量版NFT產品Genesis Collection即將在未來幾周發布，但僅限受邀者有權鑄造。

邁凱倫還表示，MSO LAB社區成員可以獲得一些獨家福利，比如解鎖鎖會員專屬頻道的訪問權限、與MSO團隊互動、獲得未來空投和其他獨家激勵。[2022/4/30 2:41:29]

5. 在用戶退款完成后項目方可以通過 claimProjectFunds 功能提取合約中的拍賣所得。但拍賣合約在用戶進行 bid 時使用 totalBids 與 bidIndex 記錄用戶所拍的數量與出價次數，而用戶是可以在一次出價中任意選擇所拍的數量的，因此在拍賣結束 totalBids 實際上大于 bidIndex。當前 totalBids 為 5495，bidIndex 僅為 3669。

6. 但在 claimProjectFunds 函數中卻要求 refundProgress 退款數必須大于等于 totalBids，項目方本意應是為了保證全部用戶完成退款后才可進行取款。而實際上 refundProgress 是根據出價人總數進行計算的，也就是全部退款完成 refundProgress 也只是會等于 bidIndex。這就出現了 refundProgress 永遠不會大于 totalBids 的情況。最終導致合約中 11,539.5 枚 ETH 永遠無法取出。

綜上，即使在用戶無法退款問題被解決的情況下，由于出價人數與拍賣數量的計數不一致以及項目方取款函數的缺陷，最終都會導致 Akutars 資金被永久鎖住的結果。

Tags：BIDNFTUNDPROBIDOG價格NFTY價格Compound EtherYFST.Protocol

Fil