2022年4月23日,成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示,NFT項目方Akutar的AkuAuction合約由于智能合約本身漏洞,導致11539ETH被鎖死在合約中。成都鏈安技術團隊第一時間對事件進行了分析,結果如下。
成都鏈安技術團隊立刻進行了分析。
漏洞合約:
0xf42c318dbfbaab0eee040279c6a2588fa01a961d
#2?漏洞分析
零知識身份預言機提供商zkMe完成200萬美元Pre-Seed輪融資,Circle Venture等參投:5月30日消息,零知識身份預言機 zkMe 完成 200 萬美元 Pre-Seed 輪融資,Circle Venture、Spartan Group、CMS Holdings、Fenbushi Capital、NGC Ventures、Arkstream Capital 等參投,計劃利用新資金加速開發,在一個月內完成主網測試并上線客戶注冊功能。
ZkMe 允許用戶加密他們的數據,并使用 ZKP 在他們自己的設備上證明聲明,以有效地驗證用戶資格,同時保護他們的隱私安全。[2023/5/30 9:49:53]
Akutar項目的智能合約包含2個漏洞:
MicroStrategy持有的比特幣已接近盈虧平衡水平:金色財經報道,Amplify Transformational Data Sharing ETF (BLOK)聯合投資組合經理Dan Weiskopf表示,最新的比特幣價格上漲部分是由于BTC用例的擴大,比如基于Ordinals協議的NFT銘文,這可能會刺激MicroStrategy購買更多資產。Dan Weiskopf解釋說:“一些投資者可能會注意到MicroStrategy持有的132,500 BTC目前正接近于盈虧平衡水平(該公司每個比特幣的平均成本為30,137美元),MicroStrategy聯合創始人Michael Saylor已經表示將會把比特幣作為長期戰略。”截至目前,MicroStrategy發言人沒有對此事回復置評請求。(blockworks)[2023/3/21 13:16:18]
3.因此如果此時有攻擊者在隊列中進行退款操作,調用call退款給攻擊者時,攻擊者在fallback中進行進行惡意的revert則會導致退款隊列卡在攻擊者這里,從而導致隊列后面的所有人都無法進行退款。
歌星艾薇兒參與的元宇宙項目與Double-A Chain達成戰略合作:據官方消息,近日,艾薇兒參與的元宇宙項目Mate City與Double-A Chain達成戰略合作,將于近期上線NFT交易市場iNFTspace。
據悉,包括艾薇兒(Avril Lavigne)等在內的多位國際明星,作為co- creator即聯合發起人和共創伙伴入駐到MetaCity。MetaCity包含元宇宙土地 NFT、每一個島嶼產出的道具NFT以及可以邀請到島嶼玩耍的NPC NFT,并且會在近期在iNFTspace發布上線。MetaCity會支持在Double-A Chain(AAC)發行。[2022/7/27 2:41:08]
4.這個漏洞被人在鏈上證明有效,但隨后攻擊合約便進行了解鎖,并沒有進行攻擊利用,且公開進行了申明。
漏洞二:
該漏洞也是導致價值約3400萬美元的ETH資產被鎖死在合約中的元兇。
1.在claimProjectFunds函數中,該函數主要用于項目方提款。為了避免項目方權限過大,在用戶完成提款之前就將合約中的資產全部轉走導致用戶無法退款,所有的退款操作應全部完成之后項目方才能夠提款。業務邏輯設計上來說,是沒有問題的。然而,在具體的代碼實現中,當前的代碼容易受到漏洞一的影響,導致項目方無法提款,不過這只是潛在的風險,本次資金鎖死的元兇不是這個原因。
2.注意函數中第620行代碼:require此處refundProgress表示已經處理了多少個用戶的退款,totalBids表示所有用戶總投標了多少個NFT。注意由于一個用戶可以投標多個NFT,導致單從數值上比較,refundProgress可能小于totalBids。
而再來看看退款函數processRefunds中:require(_refundProgress<_bidIndex);bidIndex表示所有參與競標的用戶,refundProgress永遠不會高于bidIndex。
此時來看看bidIndex的值,為3669:
totalBids的值為5495:
3.所以refundProgress>=5495且refundProgress<3669這個判斷條件永遠不會成立,最終導致項目方團隊將永遠無法執行后續的提款操作。此處應將refundProgress與bidIndex做對比,開發者犯了一個很低級的錯誤。最終,導致項目方11539ETH(價值約3400萬美元)被鎖定無法提取。
#3?總結
針對本次事件,成都鏈安技術團隊建議:
1.開發者應具備基本的安全開發意識,熟悉智能合約開發應注意的安全問題;
2.在合約設計和實現時,注意代碼實現的正確性,項目上線前,可選擇專業的安全審計公司進行全面的安全審計,規避安全風險。
Tags:NFTFUNFUNDUNDnft幣發行量萬億有升值空間Seedify.fundPantera FundUND幣
尊敬的CoiUp用戶: 由於ETH節點升級已完成,平臺現恢復ETH充值、提幣,所有代幣充值、提幣業務正常.
1900/1/1 0:00:00DearValuedUsers,HuobiGlobalwillbeopeningDOSE(DOSE)?spottrading(DOSE/USDT)at08:30(UTC)onApril27.Di.
1900/1/1 0:00:00CapriceFinance代幣目前的價格為0.004美元,因為它處于預售期。CapriceFinance(CFT)、Polkadot(DOT)和NearProtocol(NEAR)在最近幾周出.
1900/1/1 0:00:00DearKuCoinUsers,KuCoinisextremelyproudtoannounceyetanothergreatprojectcomingtoourtradingplatform.
1900/1/1 0:00:00DearValuedUsers,EveryTuesday11:00(UTC),HuobiGlobalwillhostthe"PrimeEarnHigh-YieldTuesday"deposite.
1900/1/1 0:00:00據Bitcoin.com4月24日報道,一項研究結果顯示,美國約有25%的加密貨幣投資者在元宇宙擁有或租用土地,或有此計劃.
1900/1/1 0:00:00