# NFT日报： Aku项目现低级漏洞，3400万美元资产被锁死 By [bydao](https://paragraph.com/@bydao) · 2022-04-23 --- 编辑：bydao NFT漏洞 ----- 舆情监测显示，NFT项目方Akutar的AkuAuction合约由于智能合约本身漏洞，导致11539ETH(价值约3400万美元)被锁死在合约中。 **事件相关信息** 4月23日消息，Solidity开发者foobar发推称，11539ETH(价值3400万美元)被永久锁定在AkuDreams合约中，个人用户或开发团队都无法取出资金。退款处理完成后，将每个出价状态设置为1。因此，用户无法调用emergencyWithdraw()。此外，团队也无法领取资金，基本上等于销毁。 成都链安技术团队立刻进行了分析。 **漏洞合约：** 0xf42c318dbfbaab0eee040279c6a2588fa01a961d **Akutar项目的智能合约包含2个漏洞：** **漏洞一：** 1.第一个合约漏洞在processRefunds中，设计者根据refundProgress计数器进行循环退款。 2.而这里使用了call函数进行退款操作，且把退款的结果作为require的判定条件。 3.因此如果此时有攻击者在队列中进行退款操作，调用call退款给攻击者时，攻击者在fallback中进行进行恶意的revert则会导致退款队列卡在攻击者这里，从而导致队列后面的所有人都无法进行退款。 4.这个漏洞被人在链上证明有效，但随后攻击合约便进行了解锁，并没有进行攻击利用，且公开进行了申明。 **漏洞二：** 该漏洞也是导致价值约3400万美元的ETH资产被锁死在合约中的元凶。 1.在claimProjectFunds函数中，该函数主要用于项目方提款。为了避免项目方权限过大，在用户完成提款之前就将合约中的资产全部转走导致用户无法退款，所有的退款操作应全部完成之后项目方才能够提款。业务逻辑设计上来说，是没有问题的。然而，在具体的代码实现中，当前的代码容易受到漏洞一的影响，导致项目方无法提款，不过这只是潜在的风险，本次资金锁死的元凶不是这个原因。 2.注意函数中第620行代码：require(refundProgress>=totalBids)此处refundProgress表示已经处理了多少个用户的退款，totalBids表示所有用户总投标了多少个NFT。注意由于一个用户可以投标多个NFT，导致单从数值上比较，refundProgress可能小于totalBids。 而再来看看退款函数processRefunds中：require(\_refundProgress<\_bidIndex);bidIndex表示所有参与竞标的用户，refundProgress永远不会高于bidIndex。 **此时来看看bidIndex的值，为3669：** **totalBids的值为5495：** 3.所以refundProgress>=5495且refundProgress<3669这个判断条件永远不会成立，最终导致项目方团队将永远无法执行后续的提款操作。此处应将refundProgress与bidIndex做对比，开发者犯了一个很低级的错误。最终，导致项目方11539ETH(价值约3400万美元)被锁定无法提取。 **总结** **针对本次事件，成都链安技术团队建议：** 1.开发者应具备基本的安全开发意识，熟悉智能合约开发应注意的安全问题； 2.在合约设计和实现时，注意代码实现的正确性，项目上线前，可选择专业的安全审计公司进行全面的安全审计，规避安全风险。 NFT项目 ----- 1、NFT项目Akutars在推特上发布有关“11539 ETH（价值3400万美元）被永久锁定”事件的进展： - 将向Pass持有者发放0.5 ETH退款，预计下周一进行； - Akutars将开启空投，并审计合约确保准确性，预计周日进行。请等待官方公布Akutar OpenSea链接。 今日早些时候消息，因合约实现逻辑问题，Akutars的11,539.5 ETH（约合3400万美元）被永久锁定在拍卖合约中。 2、adidas Originals宣布将为“Into the Metaverse”的 NFT持有者发放实物产品，认领窗口将于4月28日开放，认领不收取费用但需支付Gas费。 Adidas Originals于去年12月与BAYC、NFT收藏家gmoney、PUNKS Comic合作推出其首个NFT项目“Into the Metaverse”，NFT的所有者可以免费访问四个合作伙伴的实物物品。 ![](https://storage.googleapis.com/papyrus_images/388cf8f9155f3be0e5ea7e74aa88c55f7ba1c1d67f4ab34d2d627e44dfc547df.jpg) 3、运动鞋和服装巨头耐克发布了其首款数字虚拟世界运动鞋，基于以太坊 NFT 的 RTFKT x Nike Dunk Genesis CryptoKicks，并配备了可改变风格的 Skin Vial NFT。球鞋 NFT 已开始在二级市场上转售，截至发稿时，在 OpenSea平台的起价约为 5 ETH（超过 14,800 美元）。 2019 年 12 月，耐克获得了 CryptoKicks 的专利，这是一种区块链驱动的系统，其中数字资产可以与实物产品配对，这家运动鞋巨头在去年 12 月收购了 NFT 公司 RTFKT Studios。 4、据NFTGo.io数据显示，RTFKT - MNLTH系列NFT总交易额达2.85亿美元，在所有NFT项目总交易额排名中位列第9；其24小时交易额为1773.34万美元，增幅达535.11%。截止发稿时，该系列NFT当前地板价为10.9ETH。 此前报道，RTFKT Studio于今日发布首个耐克NFT运动鞋系列RTFKT X Nike Dunk Genesis CRYPTO KICKS。该系列NFT运动鞋由Nike Crypto kicks和SkinVial技术提供支持，拥有可定制、可升级的特性（需配合RTFKT SKINVIAL:EVOX系列NFT） NFT侵权 ----- FTX总法律顾问Ryne Miller周五在纽约康奈尔区块链会议的小组讨论中表示，中心化NFT交易所FTX面临的最大问题是确保用户上架他们真正拥有的作品。Miller说：“我们最大的问题是确保人们不会上架他们不拥有版权或任何其他知识产权的NFT，这是一个非常手动的过程。这需要大量的努力和精力。” Ryne Miller认为，目前还没有有效的系统来验证NFT和知识产权。一个潜在的解决方案可能是一个社区驱动、基于激励的调节系统，用户可以在其中相互控制，类似于OpenSea目前的验证收集系统。（Blockworks） NFT资产 ----- NFTScan数据显示，最近一周，以太坊网络新增173.56万枚NFT资产，平均每天新增铸造24.79万枚NFT资产。 ![](https://storage.googleapis.com/papyrus_images/d8307a1af2fea4fda68e85861a02d62e0f718dd48088216d74eef5e6ba992081.jpg) --- *Originally published on [bydao](https://paragraph.com/@bydao/nft-aku-3400)*