數字藏品合約驚現雙重漏洞 3400萬美元資產遭永久鎖定

BlockSec近日發現某數字藏品合約存在兩個嚴重漏洞，引發業內關注。第一個漏洞可能導致合約遭受拒絕服務攻擊，用戶資產面臨被鎖定風險；第二個漏洞則可能造成項方超過3400萬美元資產永久滯留合約中無法提取。

第一個漏洞位於退款處理函數中。該函數通過循環爲所有用戶退款，但如果退款對象是惡意合約，可能會拒絕接收並回滾交易，導致整個退款過程中斷。所幸這一漏洞未被實際利用。

針對此類情況，安全專家建議項目方可採取以下措施加強退款機制安全性：

1. 限制只有個人用戶帳戶可參與項目
2. 使用ERC20代幣等替代原生資產
3. 設計用戶主動領取退款的功能，避免批量退款

第二個漏洞源於一個編程錯誤。在提取項目資金的函數中，存在一個條件判斷語句有誤。該語句本應比較退款進度與投標索引，但錯誤地與總投標數進行了比較。由於退款進度永遠小於總投標數且不再增加，導致條件永遠不能滿足，項目方資金因此被永久鎖定在合約中。

這一錯誤造成超過3400萬美元資產目前滯留在合約中無法取出。

安全專家表示，令人驚訝的是，繼NBA數字藏品籤名驗證漏洞事件後，又一知名項目出現如此低級的錯誤。他們強調，項目開發過程中需要編寫充分的測試用例，並具備基本的安全意識。雖然在去中心化金融領域，安全審計已成爲常規做法，但在數字藏品項目中，安全審計仍顯不足，這種疏忽直接導致了巨額損失。

此事件再次凸顯了區塊鏈項目安全審計的重要性，呼籲業內加強對數字藏品合約的安全檢查，以防類似事件再次發生。