Aku项目方价值3,400万美元ETH被永久锁定，系合约实现逻辑问题

4月23日消息，NFT项目方Akutar的11,539.5 ETH（约合3,400万美元）被永久锁定在拍卖合约。

Aku采用的是类似荷兰降价拍卖的形式，拍卖结束后会按照结束价格给用户退还超过最低价格的部分，因此这涉及refund以及total bids统计两个方面，而项目方在这两个方面均存在实现逻辑问题。

第一个漏洞，processRefunds() 会被恶意合约阻断，实现DoS攻击，也确有用户使用恶意合约阻断了processRefunds(）执行，但该名用户表示只是让项目方确认问题存在，随即设置恶意合约变量，使得processRefunds(）顺利执行完，因此该漏洞虽被利用，但已成功解决。

第二个漏洞，也就是真正导致项目方无法提款的关键所在，processRefunds(）是按照msg.sender的数量记录在了refundProgress变量，拍卖结束项目方调用claimProjectFunds()取出合约内的ETH时，要求满足refundProgress >= totalBids，而totalBids记录的是NFT的数量，合约最终状态refundProgress数值为3669，totalBids数值为5495，从而导致项目方无法提取合约内的11539.5 ETH。

需要指出的是，在执行processRefunds(）之前，参与拍卖的用户可以在三天后通过emergencyWithdraw()将个人投入的ETH取回，但由于processRefunds(）的执行，导致用户的拍卖状态由未处理变为refund，从而不能再进行emergencyWithdraw()。

DigiDaigaku：将向攻击者寻求赔偿:11月3日消息，DigiDaigaku官方就CEO Gabriel Leydon账户被盗并发布钓鱼网站一事进行更新：Gabriel Leydon的推特帐户因SIM卡调换（美国东部时间5:39PM）被盗。DigiDaigaku要求攻击者降低其法律风险并删除已发布的推文，在确定攻击者身份后会提出指控并寻求损害赔偿。[2022/11/3 12:13:22]

NFT项目Digi Daigaku地板价突破12 ETH:8月29日消息，据OpenSea数据显示，NFT项目Digi Daigaku地板价突破12ETH，暂报12.4ETH。该项目曾于8月9日采取Free Mint形式发售。[2022/8/29 12:55:54]

NFT项目Akutars：将向Pass持有者发放0.5 ETH退款，同时开启空投:4月23日消息，NFT项目Akutars在推特上发布有关“11539 ETH（价值3400万美元）被永久锁定”事件的进展：

- 将向Pass持有者发放0.5 ETH退款，预计下周一进行；

- Akutars将开启空投，并审计合约确保准确性，预计周日进行。请等待官方公布Akutar OpenSea链接。

今日早些时候消息，因合约实现逻辑问题，Akutars的11,539.5 ETH（约合3400万美元）被永久锁定在拍卖合约中。[2022/4/24 14:44:26]

相关资讯