Ошибка в смарт-контракте NFT-проекта AkuDreams привела к потере $34 млн

Из-за ошибки команды AkuDreams голландский аукцион $NFT-проекта завершился потерей средств пользователей. Свыше 11 539 $ETH (~$33,93 млн) оказались навсегда заблокированы в смарт-контракте.

$34 million, or 11,539 eth, is permanently locked into the AkuDreams contract forever. It cannot be retrieved by individual users or by the dev team.

The refund processing, which is complete, sets each bid status to 1. pic.twitter.com/6GnQPnddC6

— foobar (@0xfoobar) April 23, 2022

«$34 млн, или 11 539 $ETH, навсегда заблокированы в смарт-контракте AkuDreams. Они не могут быть извлечены отдельными пользователями или командой проекта», — написал разработчик под ником 0xfoobar.

По итогам аукциона проигравшие участники должны были забрать свои $ETH, но из-за ошибки в логике контракта они не могут использовать функцию emergencyWithdraw (), отвечающую за вывод средств. 

По словам 0xfoobar, команда проекта также не имеет возможности вывести активы «из-за неправильной математики инкремента». 

Команда AkuDreams подтвердила информацию об ошибке и подчеркнула, что инцидент произошел вследствие «незлонамеренного эксплойта». Основатель $NFT-проекта Gangster All Star под ником 0xInuarashi объяснил, что «кто-то смог нарушить работу processRefunds (), разместив ставку из контракта».

3/ This was the cause of the more-so-well-known exploit of a griever contract that can call the bid function (because they did not disable contract calling) which as a fallback that fails.

In short, someone could have bid and broke the processRefunds() by bidding from a contract

— 0xInuarashi (@0xInuarashi) April 23, 2022

Разработчики AkuDreams заявили, что компенсируют потери пользователей (по 0,5 $ETH каждому потерпевшему). Возврат средств произведут в понедельник или вторник — для этого задействуют резерв казначейства проекта.

Update:

.5E Refunds for Pass Holders
— Will be honored
— ETA: Monday/Tuesday
— Why? Bank opens Monday. Money from Chapter treasury will be used.

Akutars
— Will be airdropped
— Auditing contract to ensure accuracy
— ETA: Sunday

— Wait for the official Akutar OpenSea link

— Aku :: Akutars (@AkuDreams) April 23, 2022

Напомним, в марте неизвестный украл $790 000 у владельцев $NFT-коллекции Rare Bears.