Команда разработчиков AkuDreams заблокировала $33 млн из-за ошибки в смарт-контракте

В выходные долгожданный проект Akutars по выпуску неиграбельных токенов (NFT) был омрачен как эксплойтом, так и ошибкой, в результате чего более 11 500 Ether (ETH), стоимостью почти 33 миллиона долларов, были навсегда заблокированы в смарт-контракте, недоступном даже для команды разработчиков.

Эксплойт, однако, был совершен кем-то, кто пытался показать уязвимость в проекте, а не украсть средства с помощью взлома.

Проект был запущен в пятницу с помощью голландского аукциона — типа аукциона, на котором цена снижается до тех пор, пока не поступит предложение, при этом первое предложение выигрывает продажу, пока цена выше резерва.

Аукцион открылся по цене 3,5 ETH, на продажу было выставлено только 5 495 из имеющихся 15 000 NFT, а смарт-контракт был настроен на возврат средств всем участникам аукциона, которые занизили цену. Обладатели «Aku Mint Pass» также получили скидку в 0,5 ETH на каждый отчеканенный NFT.

Ошибка на $33 млн.

В субботней ветке Твиттера, объясняющей ошибку на $33 млн, 0xInuarashi, разработчик нескольких проектов NFT, объяснил, что смарт-контракт Akutars был закодирован таким образом, что возврат средств участникам торгов должен был быть обработан в первую очередь, прежде чем команда могла вывести какие-либо средства.

В контракте была оговорка, что для вывода средств необходимо сделать минимальное количество ставок, но минимальное количество ставок было установлено равным количеству NFT, доступных для аукциона.

К сожалению, из-за того, что некоторые покупатели майнили несколько NFT в рамках одной ставки, условия контракта означают, что он никогда не разблокируется, навсегда запечатывая почти 33 миллиона долларов в ETH.

Cointelegraph связался с командой Akutars для получения комментариев, но не сразу получил ответ.

Эксплойт

В ныне удаленном твите, опубликованном Akutars, которым поделился разработчик DeFi foobar, говорится, что разработчики обратились к ним с предупреждением о том, что их контракт может быть использован, но, похоже, полностью отмахнулись от них, назвав потенциальный эксплойт «особенностью».

Команда AkuDreams сделала вид, что это особенность, а не эксплойт, когда несколько разработчиков выразили озабоченность до появления мяты. Странные оправдания. pic.twitter.com/cVgEXnnWzF

— foobar (@0xfoobar) 23 апреля 2022 г.

Во время монетного двора неизвестный выполнил так называемый «griefing contract», который заблокировал способность контракта «Акутары» обрабатывать возврат средств тем, кто занизил ставку. Это лицо даже встроило в блокчейн сообщение команде Akutars, в котором говорилось, что оно остановит контракт:

«Ну, это было весело, у меня не было намерения на самом деле использовать это lol. Иначе я бы не использовал Coinbase. Как только вы, ребята, публично признаете, что эксплойт существует, я немедленно удалю блок».

Akutars затем быстро ответил, взяв на себя ответственность за код, и предположил, что эксплойт «не был сделан из злого умысла», а человек «хотел привлечь внимание к лучшим практикам для хорошо заметных проектов».

Быстрое обновление (более подробно будет описано в ближайшее время):

1. Эксплойт в контракте не был сделан из злого умысла; человек намеревался привлечь внимание к лучшим практикам для хорошо заметных проектов и новых механик. Они разблокировали эксплойт быстро после того, как мы вникли и взяли на себя ответственность.

— Aku :: Akutars (@AkuDreams) 23 апреля 2022 г.

В тот же день основатель проекта и бывший профессиональный бейсболист Майка Джонсон принес извинения сообществу, отметив, что, подведя их, он будет «продолжать строить кирпичик за кирпичиком» и неустанно работать, чтобы избежать подобных проблем в будущем. 

Команда также заявила, что будет выплачивать 0,5 ETH владельцам пропусков, а также отправлять NFT по воздуху успешным участникам торгов.

Ошибки, которые были допущены, обходятся никому не дороже, чем мне самому. Я реинвестировал почти все в создание Aku.

И почти все вернется к возмещению, и мы продолжим строить то, что задумали.

Кирпичик за кирпичиком.

— Мика Джонсон (@Micah_Johnson3) 23 апреля 2022 г.

В обновлении, опубликованном в воскресенье, команда сообщила, что переписала контракт на майнинг, который затем был проверен несколькими разработчиками, и планирует майнить в понедельник.

Эта статья была обновлена, заголовок изменен с «$34M» на «$33M».