BlockSec виявив вразливість контракту цифрових колекцій, активи на суму 34 мільйони доларів були назавжди заблоковані.

BlockSec нещодавно провела безпековий аудит контракту цифрового колекційного предмета та виявила два серйозних уразливості. Ці уразливості можуть призвести до серйозних наслідків, таких як блокування активів користувачів та неможливість виведення коштів вечірки проєкту.

Перший вразливість існує у функції обробки повернень. Ця функція використовує циклічний метод для повернення коштів всім користувачам, але якщо якийсь користувач є злочинним контрактом, він може відмовитися приймати повернення та припинити угоду, що призведе до невдачі всіх операцій повернення коштів. На щастя, ця вразливість ще не була використана.

Для уникнення подібних проблем, рекомендується вечірка проєкту вжити такі заходи безпеки:

1. Обмеження лише для особистих користувачів можуть брати участь у вечірці проєкту
2. Використовуйте токени ERC20, а не рідні активи
3. Розробити механізм активного запиту на повернення коштів користувачами, а не масове повернення.

!

Другий вразливість виникла через помилку в написанні коду. У функції витягування коштів проєкту виникла логічна помилка в умовному операторі, що призвело до того, що вечірка проєкту не змогла витягти кошти з контракту. Наразі більше 34 мільйонів доларів активів назавжди заблоковані в контракті.

!

Це ще раз підкреслює важливість всебічного тестування та аудиту безпеки в процесі розробки вечірка проєкту. Хоча в сфері DeFi аудит безпеки став звичайною практикою, у проєктах цифрових колекцій цей етап часто ігнорується, що призводить до величезних втрат.

Вечірка проєкту під час розробки повинна забезпечити написання достатньої кількості тестових випадків та виховувати базову обізнаність щодо безпеки. Одночасно, для проєктів з цифровими колекційними предметами високої вартості, проведення професійного аудиту безпеки також є вкрай необхідним, щоб уникнути повторення подібних значних втрат.

!