数字藏品合约惊现双重漏洞 3400万美元资产遭永久锁定

BlockSec近日发现某数字藏品合约存在两个严重漏洞，引发业内关注。第一个漏洞可能导致合约遭受拒绝服务攻击，用户资产面临被锁定风险；第二个漏洞则可能造成项方超过3400万美元资产永久滞留合约中无法提取。

第一个漏洞位于退款处理函数中。该函数通过循环为所有用户退款，但如果退款对象是恶意合约，可能会拒绝接收并回滚交易，导致整个退款过程中断。所幸这一漏洞未被实际利用。

针对此类情况，安全专家建议项目方可采取以下措施加强退款机制安全性：

1. 限制只有个人用户账户可参与项目
2. 使用ERC20代币等替代原生资产
3. 设计用户主动领取退款的功能，避免批量退款

第二个漏洞源于一个编程错误。在提取项目资金的函数中，存在一个条件判断语句有误。该语句本应比较退款进度与投标索引，但错误地与总投标数进行了比较。由于退款进度永远小于总投标数且不再增加，导致条件永远不能满足，项目方资金因此被永久锁定在合约中。

这一错误造成超过3400万美元资产目前滞留在合约中无法取出。

安全专家表示，令人惊讶的是，继NBA数字藏品签名验证漏洞事件后，又一知名项目出现如此低级的错误。他们强调，项目开发过程中需要编写充分的测试用例，并具备基本的安全意识。虽然在去中心化金融领域，安全审计已成为常规做法，但在数字藏品项目中，安全审计仍显不足，这种疏忽直接导致了巨额损失。

此事件再次凸显了区块链项目安全审计的重要性，呼吁业内加强对数字藏品合约的安全检查，以防类似事件再次发生。