NFT项目方Akutar的11,539.5 ETH被永久锁定在拍卖合约。 Aku采用的是类似荷兰降价拍卖的形式，拍卖结束后会按照结束价格给用户退还超过最低价格的部分，因此这涉及refund以及total bids统计两个方面，而项目方在这两个方面均存在实现逻辑问题。 第一个漏洞，processRefunds 会被恶意合约阻断，实现DoS攻击，也确有用户使用恶意合约阻断了processRefunds取出合约内的ETH时，要求满足refundProgress >= totalBids，而totalBids记录的是NFT的数量，合约最终状态refundProgress数值为3669，totalBids数值为5495，从而导致项目方无法提取合约内的11539.5 ETH。 需要指出的是，在执行processRefunds将个人投入的ETH取回，但由于processRefunds。