据慢雾区消息，Akutars(@AkuDreams) 项目拍卖合约由于多个代码缺陷导致 11,539.5 枚 ETH 永久无法取出。慢雾安全团队进行分析后以简讯的形式分享给大家。
1. Akutars 拍卖合约中存在 bid 与 processRefunds 功能，用户分别可以进行拍卖出价与退款操作。
2. 在拍卖结束后发起 processRefunds 退款操作时拍卖合约将遍历出价用户，并通过低级调用 call 为用户进行退款，但并未限制这一调用的 gasLimit。而未做此 gasLimit 限制的情况下，拍卖合约将使用发起者的全部 gas 进行外部调用。
调查：48%的投资者希望在NFT领域加强监管:金色财经报道，根据 CoinGecko 最近的一项调查，约 48% 的投资者希望在 NFT 领域加强监管，四分之三受访用户表示持有 NFT。 该研究在 2022 年 12 月至 2023 年 1 月期间进行，约 75.8% 的受访者表示他们拥有 NFT，21.7% 的人以前没有或从未拥有过 NFT。此外，在持有 NFT 的投资者中，约 26.5% 的人表示他们是收藏爱好者，拥有超过 50 枚 NFT。[2023/4/9 13:52:35]
3. 但由于 Akutars 拍卖合约并不限制合约参与拍卖，因此“恶意用户”可以使用合约参与拍卖，并在其合约的接收以太函数中写入恶意消耗 gas 的逻辑，使得在进行退款流程时触发此用户合约，进而恶意消耗了调用发起者的全部 gas，直接导致后续退款无法正常进行。
SMBC宣布推出web3、NFT、托管计划:金色财经报道，三井住友金融集团(SMBC)宣布计划与日本web3初创公司HashPort合作，围绕Web3和NFT开发生态系统，包括在日本推广Web3。他们还计划在监护权方面合作。两家机构将成立代币商业实验室，合作研究和示范，推广代币业务。之后，三井住友银行计划发展自己的代币业务，双方将咨询计划发行代币的企业，例如NFT。（ledgerinsights）[2022/7/22 2:31:59]
4. 幸运的是此“恶意用户”仅仅只是做了风险验证测试，最终解除了恶意消耗 gas 的逻辑使得退款可以继续顺利进行。当然用户也可以在拍卖结束的 3 天后进行紧急退款。
The Sandbox与NFT项目World of Women达成合作:3月8日消息，The Sandbox与女性主题NFT项目World of Women（WoW）近日已达成合作，将WoW NFT收藏品带入到The Sandbox。此举被视为在元宇宙中促进包容性和平等的举措。
其合作内容将包括：成立WOW基金会，提供2500万美元资助，用于促进女性加入去中心化领域；双方共同努力在The Sandbox中打造一个互动世界，致力于以女性为中心的事业；在2×2地块上建立WOW博物馆，创立WOW大学，将提供有关如何开始使用Web3的指导和教程。（DappRadar）[2022/3/8 13:44:22]
5. 在用户退款完成后项目方可以通过 claimProjectFunds 功能提取合约中的拍卖所得。但拍卖合约在用户进行 bid 时使用 totalBids 与 bidIndex 记录用户所拍的数量与出价次数，而用户是可以在一次出价中任意选择所拍的数量的，因此在拍卖结束 totalBids 实际上大于 bidIndex。当前 totalBids 为 5495，bidIndex 仅为 3669。
6. 但在 claimProjectFunds 函数中却要求 refundProgress 退款数必须大于等于 totalBids，项目方本意应是为了保证全部用户完成退款后才可进行取款。而实际上 refundProgress 是根据出价人总数进行计算的，也就是全部退款完成 refundProgress 也只是会等于 bidIndex。这就出现了 refundProgress 永远不会大于 totalBids 的情况。最终导致合约中 11,539.5 枚 ETH 永远无法取出。
综上，即使在用户无法退款问题被解决的情况下，由于出价人数与拍卖数量的计数不一致以及项目方取款函数的缺陷，最终都会导致 Akutars 资金被永久锁住的结果。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。