以太坊數字藏品合約曝兩大漏洞 3400萬美元資金被鎖定

近日，一家區塊鏈安全公司發現某數字藏品合約存在兩個嚴重漏洞，引發業內關注。該合約地址位於以太坊主網，涉及的問題可能導致用戶資產被鎖定以及項目方資金無法提取。

第一個漏洞存在於退款處理函數中。該函數通過循環爲所有用戶進行退款，但如果退款對象是惡意合約，可能會拒絕接收並使交易回滾，從而導致整個退款過程失敗。幸運的是，這個漏洞並未被實際利用。

針對此類退款邏輯，業內專家提出了幾點建議：

1. 限制只有外部帳戶（EOA）可參與項目
2. 使用WETH等ERC20代幣替代原生資產
3. 設計用戶主動領取退款的機制，避免批量退款

第二個漏洞則是由於代碼編寫疏忽造成的。在項目方提取資金的函數中，存在一個條件判斷錯誤。原本應比較退款進度和投標索引，卻錯誤地與總投標數進行了比較。這導致條件永遠無法滿足，項目方的資金（超過3400萬美元）被永久鎖定在合約中。

這一事件再次引發了業界對數字藏品項目安全性的擔憂。在去中心化金融（DeFi）領域，安全審計已成爲常規做法，但在數字藏品項目中，這一環節似乎仍被忽視。專家呼籲，項目方在開發過程中應編寫充分的測試用例，培養基本的安全意識，並考慮引入專業的安全審計，以避免類似低級錯誤導致的巨額損失。