木星链 木星链
Ctrl+D收藏木星链

FUN:惊现低级漏洞?简析NFT项目Akutar资金锁定事件

作者:

时间:1900/1/1 0:00:00

2022年4月23日,成都链安链必应-区块链安全态势感知平台舆情监测显示,NFT项目方Akutar的AkuAuction合约由于智能合约本身漏洞,导致11539ETH被锁死在合约中。成都链安技术团队第一时间对事件进行了分析,结果如下。

成都链安技术团队立刻进行了分析。

漏洞合约:

0xf42c318dbfbaab0eee040279c6a2588fa01a961d

#2?漏洞分析

安全机构:Atlantis Loans遭治理攻击,目前损失约为100万美元:6月11日消息,据安全机构Beosin报道,BSC生态协议Atlantis Loans遭治理攻击,攻击者获得了对合约的控制权,并替换为包含后门功能的合约,以转移用户资产,目前损失约为100万美元。攻击者于2023年6月7日在GovernorBravo合约中创建恶意治理提案(ID:52),将多个ABep20Delegator合约的admin设置为恶意合约。然后攻击者投票通过了该提案。[2023/6/11 21:30:13]

Akutar项目的智能合约包含2个漏洞:

近900万枚MATIC从币安转至Crypto.Com:金色财经报道,8,999,990 #MATIC (10,539,408 USD) transferred from #Binance to #Crypto.Com。[2023/1/30 11:35:50]

3.因此如果此时有攻击者在队列中进行退款操作,调用call退款给攻击者时,攻击者在fallback中进行进行恶意的revert则会导致退款队列卡在攻击者这里,从而导致队列后面的所有人都无法进行退款。

Dapp数据追踪公司Dapp Radar将支持Cardano:10月1日消息,Dapp数据追踪公司Dapp Radar宣布将支持Cardano,为基于Cardano的Dapps提供数据查询服务。[2022/10/1 18:36:33]

4.这个漏洞被人在链上证明有效,但随后攻击合约便进行了解锁,并没有进行攻击利用,且公开进行了申明。

漏洞二:

该漏洞也是导致价值约3400万美元的ETH资产被锁死在合约中的元凶。

1.在claimProjectFunds函数中,该函数主要用于项目方提款。为了避免项目方权限过大,在用户完成提款之前就将合约中的资产全部转走导致用户无法退款,所有的退款操作应全部完成之后项目方才能够提款。业务逻辑设计上来说,是没有问题的。然而,在具体的代码实现中,当前的代码容易受到漏洞一的影响,导致项目方无法提款,不过这只是潜在的风险,本次资金锁死的元凶不是这个原因。

2.注意函数中第620行代码:require此处refundProgress表示已经处理了多少个用户的退款,totalBids表示所有用户总投标了多少个NFT。注意由于一个用户可以投标多个NFT,导致单从数值上比较,refundProgress可能小于totalBids。

而再来看看退款函数processRefunds中:require(_refundProgress<_bidIndex);bidIndex表示所有参与竞标的用户,refundProgress永远不会高于bidIndex。

此时来看看bidIndex的值,为3669:

totalBids的值为5495:

3.所以refundProgress>=5495且refundProgress<3669这个判断条件永远不会成立,最终导致项目方团队将永远无法执行后续的提款操作。此处应将refundProgress与bidIndex做对比,开发者犯了一个很低级的错误。最终,导致项目方11539ETH(价值约3400万美元)被锁定无法提取。

#3?总结

针对本次事件,成都链安技术团队建议:

1.开发者应具备基本的安全开发意识,熟悉智能合约开发应注意的安全问题;

2.在合约设计和实现时,注意代码实现的正确性,项目上线前,可选择专业的安全审计公司进行全面的安全审计,规避安全风险。

标签:FUNFUNDUNDPRONon-Fungible YearnHYS FUNDThunder Landsepro币前景如何

火币网下载官方app热门资讯
COI:CoinUp模拟仓交易,新手小白的交易练习场

CoinUp模拟仓交易,新手小白的交易练习场加密货币的合约交易,一直以低成本、高回报吸引着圈内外用户。踏准买卖点位,一夜暴富的神话比比皆是.

1900/1/1 0:00:00
POL:PolkaFoundry (PKF) Gets Listed on KuCoin!

DearKuCoinUsers,KuCoinisextremelyproudtoannounceyetanothergreatprojectcomingtoourtradingplatform.

1900/1/1 0:00:00
BTC:如何在Crypto这场概率游戏中提高赚钱概率?

原文作者:Route2FI,加密研究员原文编译:0x137,律动BlockBeats本文梳理自加密研究员Route2FI在个人社交媒体平台上的观点.

1900/1/1 0:00:00
PEA:PEARCOIN社群专属活动:邀请好友,共享福利

亲爱的PEARCOIN用户:我们的社群专属活动《邀请好友,共享福利》正式开启。活动时间:4月19日-4月22日报名方式:加入雪梨中文群?https://t.me/PEARCOIN_CN??在群内.

1900/1/1 0:00:00
KEX:欧易上线Step App (FITFI) 的公告

尊敬的欧易用户:欧易上线StepApp(FITFI),具体时间如下:FITFI充值:4月26日14:00(HKT)FITFI/USDT的开盘时间:4月26日18:00(HKT)FITFI提现:4.

1900/1/1 0:00:00
AND:「奇点大爆炸」后元宇宙发展状况之「可编辑空间或可进入空间游玩」项目调研

具体项目调研?下面将按不同分类以及元宇宙开放程度,对上述项目做具体的分析。分类方式介绍:将对项目分为“可编辑空间或可进入空间游玩”,“与DeFi结合”,“尚未确定”三个大类别;同时将根据“具有本.

1900/1/1 0:00:00