首页>财经 > 正文
SharkTeam独家分析 | 大意失荆州-Akutar合约漏洞导致34M美元资金永久被锁
来源: SharkTeam 发布于:2022-04-24 19:09:54

2022年4月23日消息,NFT项目方Akutar的AkuAuction合约由于智能合约本身存在的漏洞,导致11539ETH(价值约3400万美元)被永久锁死在合约中,项目方也无法将其从合约中提取出来。

SharkTeam第一时间对此事件进行了技术分析和资金流向分析,并总结了安全防范手段,希望后续的区块链项目可以引以为戒,共筑区块链行业的安全防线。

一、漏洞分析

漏洞合约地址:0xF42c318dbfBaab0EEE040279C6a2588Fa01a961d

首先,我们需要了解一下AkuAuction合约中提款的逻辑,项目方的提款函数如下:

这里,存在3个校验,如下:

第一个是时间校验,即提款必须在所有的拍卖进程完成后进行。

第二个是退款校验,即提款只能在所有用户都完成退款后才可以提款。

第三个是空投校验,即空投全部完成后才可以提款。

这3个校验的目的是在合约层面限制项目方的提款权限,保证用户的权益,提高项目的可信程度。这3个校验带来的应该是安全可信的,为什么会出现代币锁死而无法提取的情况呢?原因就在于第2个校验在实现时存在错误,无法达到预期的目标,如下:

这里,refundProgress指处理的退款数量,即退款账户的数量,退款处理函数processRefunds代码如下:

从该函数中,我们可以看到,refundProgress的比较对象应该是bidIndex,这里的bidIndex指的是投标账户的总数,在bid函数中,每当有一个账户投标,bitIndex就会加1,且不会重复,代码如下:

在claimProjectFunds函数中,退款校验比较的却是refundProgress >= totalBids,这里的totalBids不是投标账户的总数,而是所有用户总投标的NFT总数,如果1个账户只能投标1个NFT,该比较在数量上不会有问题。实际上在bid函数中,1个用户可以投标多个NFT,代码如下:

因此,实际的totalBids>= bitIndex。当有用户投标2个及以上的NFT时,totalBids> bitIndex。当所有用户都完成退款时,refundProgress == bitIndex

另外,在退款处理函数processRefunds中,还存在另外一个漏洞,代码如下:

在循环调用的过程中,使用call函数进行退款,并检验其结果,若结果为false,则回滚。该逻辑容易引起拒绝服务攻击,即只要循环中有一次退款不成功,那么退款处理函数就会一直回滚,拒绝服务。

二、安全建议

针对本次事件中的安全漏洞,我们提出以下建议:

(1)对于开发者,要思维逻辑严谨,并且要具备基本的安全性意识,在项目开发过程中, 保证代码逻辑缜密并与实际逻辑相符,尽量避免一下基本的逻辑和语言层面的安全问题。

(2)项目在测试过程中,要尽可能的全面,尤其是业务逻辑方面。

(3)推荐项目方选择审计单位对项目进行审计后再上线,进一步提高项目的安全性,规避一些安全风险。

通付盾链上安全团队(SharkTeam)是领先的区块链安全服务团队,精通区块链和智能合约底层原理,为开发者提供合约审计和应急响应服务,合约审计包含近200项审计内容,覆盖高级语言层、虚拟机层、区块链层和业务逻辑层,全面保障智能合约安全。

Website: https://www.sharkteam.org/

Telegram: https://t.me/sharkteamorg

Twitter:https://twitter.com/sharkteamorg

更多区块链安全咨询与分析,点击下方链接查看

D查查|链上风险核查https://m.chainaegis.com

关键词: 所有用户 拒绝服务 就会一直

猜你喜欢

  • b站视频怎么保存在手机本地?b站一个硬币up主能得多少钱?
  • 全球快资讯丨京东居家携全链路业务亮相深圳家具展 覆盖供应链、服务、设计三大板块
  • 西方文明的发源地在哪?西方文明的三大支柱是什么?
  • 全球今热点:自动上下水成扫地机器人功能标配,云鲸打造上门服务新标杆
  • 世界热头条丨COLMO构建全屋智能新图景,“墅智专家”让智控更高端
  • 暴雨的降水量是多少毫米?降水量是怎么计算的?
  • 世界信息:一加 Ace Pro 至高配备 16GB 超大内存,打造行业流畅新体验
  • 当前热点-未来新冠疫苗或是鼻腔喷雾甚至一张贴片?福奇希望疫苗更多创新
  • 今日关注:iPhone二季度在印度出货120万部 本地产iPhone接近100万部
  • 【焦点热闻】东方甄选户外直播画风变了:俞敏洪吃桃子 董宇辉聊诗词
  • 每日焦点!助力乡村振兴,润初妍10周年携近千名经销商走进宏村
  • 《暗黑破坏神2重制版》遭俄罗斯黑客团队破解 联网模式将不再支持MOD
  • 联动狂魔《糖豆人》携手《WWE》 将于7月28日推出限时售卖皮肤
  • 官方发布《间谍过家家》第二部分先导预告 预计将于10月开播
  • 2022年国产游戏销量排行榜公布 《暖雪》获得上半年最畅销新游
  • 《雷神4》曝光海量原始概念设计图 电影全球票房创全系列新高
  • 今天是日本西瓜姐 《炼金工房》发布官图邀请你和莱莎一起吃瓜
  • 从此网络直播间使用BGM需付费!试行付酬标准现已出炉
  • 科学家设计出低能耗流体电池 旨在为建筑物遮阳与降温
  • 俄罗斯计划自研6G网络技术遭经营商抵制 表示4G足够满足日常需求