@AkuDreams sözleşmelerinde iki ciddi mantık açığı tespit ettik. Birinci açık bir DoS saldırısına neden olabilirken, ikinci açık proje fonlarının (34 milyon USD'den fazla) sonsuza kadar kilitlenmesine yol açacaktır.
Açık I
Birinci açık processRefunds fonksiyonunda bulunmaktadır. Bu fonksiyon, her teklif veren kullanıcının fonunu iade eden bir döngü içermektedir. Ancak teklif veren, işlemi geri alabilen kötü niyetli bir sözleşme olabilir. Bu durum, processRefunds çağrısının geri alınmasına neden olabilir ve hiçbir kullanıcı iadesi başarıyla gerçekleştirilemez. Neyse ki bu açık henüz istismar edilmemiştir.
Sözleşmenin kullanıcılara iade yapmak için aşağıdaki önlemleri almasını öneririz.
- Yalnızca EOA'ların teklif verebilmesini sağlayın
- ETH yerine ERC20 token, örneğin WETH, kullanın
- Kullanıcının iadeyi kendisinin alabileceği bir fonksiyon ekleyin
Açık II
İkinci açık bir yazılım hatasıdır. claimProjectFunds fonksiyonunda proje sahibi sözleşmedeki Ether'i talep edebilmektedir. Ancak require(refundProgress >= totalBids, "Refunds not yet processed"); ifadesinde bir hata bulunmaktadır; burada refundProgress, totalBids yerine _bidIndex ile karşılaştırılmalıdır. Bu açık nedeniyle koşul hiçbir zaman sağlanamayacak ve sözleşmedeki Ether (11.539,5 Ether) sonsuza kadar kilitli kalacaktır.
Özet
Yüksek profilli bir projenin temel yazılım güvenliği uygulamalarını nasıl göz ardı edebildiğine dair (dünkü NBA NFT vakasının ardından) bir kez daha şaşkınlığa uğradık. En azından proje, yeterli test senaryoları yazmalıydı. Ne yazık ki projelerin test senaryosu yazmaya vakit bulamayacak kadar meşgul olduğundan şüpheleniyoruz ve 3400 USD sonsuza kadar kaybedildi.
BlockSec Hakkında
BlockSec, 2021 yılında küresel çapta tanınmış bir grup güvenlik uzmanı tarafından kurulmuş öncü bir blok zinciri güvenlik şirketidir. Şirket, kitlesel benimsenmesini kolaylaştırmak amacıyla gelişmekte olan Web3 dünyasının güvenliğini ve kullanılabilirliğini artırmaya kararlıdır. Bu doğrultuda BlockSec; akıllı sözleşme ve EVM zinciri güvenlik denetim hizmetleri, tehditleri proaktif olarak engellemek ve güvenli geliştirme için Phalcon platformu, fon takibi ve araştırması için MetaSleuth platformu ve kripto dünyasında verimli gezinen web3 geliştiricileri için MetaDock eklentisi sunmaktadır.
Bugüne kadar şirket, MetaMask, Uniswap Foundation, Compound, Forta ve PancakeSwap gibi 300'den fazla saygın müşteriye hizmet vermiş ve Matrix Partners, Vitalbridge Capital ve Fenbushi Capital gibi önde gelen yatırımcıların katıldığı iki finansman turunda on milyonlarca ABD doları yatırım almıştır.
Resmi web sitesi: https://blocksec.com/
Resmi Twitter hesabı: https://twitter.com/BlockSecTeam
