BlockSec揭示数字藏品合约两大漏洞 3400万美元资产遭锁定

robot
摘要生成中

BlockSec团队最近发现了某数字藏品合约中存在两个严重漏洞。这两个漏洞分别可能导致用户资产被锁定和项目方资金无法提取的问题。

第一个漏洞存在于退款处理函数中。该函数使用循环方式为所有用户进行退款,但如果其中某个用户是恶意合约,可能会拒绝接收退款并使交易回滚,从而导致所有用户的退款操作都无法完成。虽然这个漏洞最终没有被利用,但仍然存在潜在风险。

针对此类退款场景,专家建议可以采取以下几种措施来提高安全性:

  1. 限制只有个人账户可以参与项目
  2. 使用如WETH等ERC20代币而非原生资产
  3. 设计用户主动领取退款的机制,避免批量退款操作

第二个漏洞则是由于代码中的一个逻辑错误造成的。在项目方提取资金的函数中,存在一个条件判断语句,本应比较"退款进度"和"投标索引",但错误地与"总投标数"进行了比较。这导致条件永远无法满足,项目方因此无法提取合约中的资金。目前已有超过3400万美元的资产被锁定在合约中。

这些问题再次凸显了在区块链项目开发中进行全面测试和安全审计的重要性。尤其是在数字藏品领域,目前仍缺乏足够的安全意识和审计实践,这可能会导致严重的经济损失。开发团队需要建立基本的安全思维,编写充分的测试用例,并在发布前进行专业的安全审计,以避免类似低级错误的发生。

此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 4
  • 分享
评论
0/400
后排吃瓜哥vip
· 07-11 04:43
技术难啊 谁栽跟头都不奇怪
回复0
DeadTrades_Walkingvip
· 07-11 04:41
又见智能合约翻车
回复0
Ramen_Until_Richvip
· 07-11 04:40
又见新漏洞 默哀三秒
回复0
夜间创世纪vip
· 07-11 04:27
从代码来看 有大问题 看来又有人要血亏了
回复0
交易,随时随地
qrCode
扫码下载 Gate APP
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)