#AkuDreams #vulnerability #lostfunds

Более 11500 ETH (около $ 35 миллионов) оказались навсегда заблокироваными на смарт-контракте AkuAuction проекта AkuDreams.

https://etherscan.io/address/0xf42c318dbfbaab0eee040279c6a2588fa01a961d

Драматичная история развернулась в несколько этапов.

Вначале команда проекта была оповещена о том, что возврат избыточных сумм ставок аукциона может быть заблокирован совершением ставки через смарт-контракт с дополнительной логикой. Был приведен пример кода такой блокировки (следует заменить адрес 0x00...01 на адрес отправителя)

https://gist.github.com/except/2ece3e40b72d0bf0cbd1107aa5d06926

В этом варианте вывод средств участников можно как заблокировать (программным отказом от получения компенсации + сжиганием всего газа транзакции), так и разблокировать.

Команда проекта не подтвердила наличие ошибки, после чего такая блокировка была реально осуществлена.

Затем ошибка была признана командой и создатель блокировки добровольно снял еë.

Для участников аукциона всë закончилось хорошо, а вот команду проекта поджидал ещё один очень неприятный факт: из-за ошибки в условиях вывода средств с контракта - этот вывод не может быть осуществлëн, все собранные аукционом средства навсегда остались на смарт-контракте.

https://bowtiedisland.com/akudreams-griefed-careless-code-leads-to-45-million-locked/