今日新 NFT 項目 Akutars 啟動「Akutar Mint Pass 可退款」荷蘭式拍賣公售，然而卻因合約存在漏洞，導致高達 11,539 ETH（價值 3,400 萬美元）的資金遭永久鎖定在合約中，項目方或是用戶都無法取得資金和退款。
（前情提要： NBA NFT 合約出包！非白名單利用漏洞搶鑄造，部分白單用戶沒得 Mint）
由美國大聯盟前職業棒球選手 Micah Johnson 創作的加密 NFT 角色 Aku 在 23 日宣布發布新延伸 NFT 項目 “Akutars”，這是在以太坊鏈上鑄造，共 15,000 個獨特的 3D 頭像系列，授予持有者未來訪問“Akuverse” 元宇宙的權限。
團隊日前已空投給向 Aku Chapter 持有者 9,241 個 Akutar 鑄造通行證 NFT ，並在今日展開 Akutar Mint Pass 的可退款荷蘭式拍賣公售（價格在特定的時間間隔內逐漸向下調整）。
Akutar 公售從 3.5 ETH 起標，每 6 分鐘降 0.1 ETH。結束拍賣時最低出價將會作為 NFT 的統一價格，所有出價更高的得標者都可獲得差價退款， 而 Akutar Pass NFT 持有者還可以獲得 0.5 ETH 的額外最終價折扣。
The Akutar True Dutch Auction:
⭐️ Starting Price: 3.5E
⭐️ .1E drop every 6 Minutes
⭐️ The lowest bid sets the price for everyone. All higher bids will be refunded!
amp;
⭐ .5E Discount off the final price for Akutar Pass Holders. Ex: 3 mints with 3 passes = 1.5E off#Akutars pic.twitter.com/zEWo994uD4— Aku :: Akutars (@AkuDreams) April 21, 2022
價值 3,400 萬的 ETH 遭永久鎖定
然而今日 Solidity 開發者 foobar 發推稱，因為合約出現漏洞，高達 11,539 ETH（價值 3,400 萬美元）的資金遭永久鎖定在 AkuDreams 合約中，無論是項目方或是用戶目前都無法取得資金和退款。一些用戶更將資金鎖定比作即興銷毀 ETH。
$34 million, or 11,539 eth, is permanently locked into the AkuDreams contract forever. It cannot be retrieved by individual users or by the dev team.
The refund processing, which is complete, sets each bid status to 1. pic.twitter.com/6GnQPnddC6
— foobar (@0xfoobar) April 23, 2022
區塊鏈安全公司 BlockSec 對此事件分析表示，合約存在兩個關鍵漏洞，第一個漏洞會導致 DoS 攻擊，第二個漏洞會導致項目資金被永久鎖定。
第一個是存在於處理退款的 processRefunds 函數中。幸運的是，這個漏洞目前還沒有被利用。
第二個是在 claimProjectFunds 函數中 ，按照設計，合約將首先處理所有退款要求，然後才允許項目方提取資金。但由於邏輯錯誤，totalBids 永遠卡在高於 refundProgress 的數字上，需求永遠無法滿足，因此合約中的以太幣（11,539.5 Ether）可被永久鎖定。
早有開發者示警合約漏洞
另名開發者 @0xBender 揭露，團隊忽略了早前發現漏洞的用戶 @notchefbob 示警，公售前還將警告稱為 FUD，指控惡意開發者將他們的「功能」稱為漏洞。
事後，Aku 團隊也在展開調查後初步向社群報告，團隊認為合約中的漏洞利用並非出於惡意，在他們深入調查後，攻擊者就已經停止再利用該漏洞了。同時坦承此次是官方造成的錯誤，將通過合約介入並向社群發放退款。
目前要給 Akutar Pass 的 0.5 ETH 折扣退款尚未發放，合約已鎖定了剩餘資金，團隊將永遠無法訪問它們。
已有幾家開發商表態表態將協助找回損失的資金，項目方也強調 NFT 仍會盡快鑄造與開盲盒，同時承諾將向 Akutar Pass NFT 持有者處理未能拿到的退款。
3. However, the refunds to passholders of .5ETH per bid have not yet been issued. An unfortunate byproduct of #2 (partial refunds before ALL refunds were issued) is that the contract has locked remaining funds. We will never be able to access them.
— Aku :: Akutars (@AkuDreams) April 23, 2022
