Selon une analyse préliminaire de l'équipe de sécurité SlowMist, ce défaut est essentiellement dû à des privilèges excessifs du propriétaire (owner). Dans le contrat exemple ERC721R, le propriétaire peut utiliser la fonction setRefundAddress pour définir arbitrairement l'adresse destinataire des remboursements des utilisateurs pour les NFT retournés. Lorsque cette adresse de remboursement détient le NFT cible, elle peut appeler en continu la fonction refund afin d'épuiser les fonds bloqués par les utilisateurs dans le contrat. De plus, le contrat exemple contient la fonction ownerMint, permettant au propriétaire de créer de nouveaux NFT même si la quantité totale n’a pas encore été atteinte. Par conséquent, l’implémentation d’ERC721R ne protège que contre les comportements honnêtes, mais pas contre les acteurs malveillants.
L’équipe de sécurité SlowMist recommande aux utilisateurs d’évaluer soigneusement les risques avant de participer à un mint de NFT, indépendamment du fait que le projet utilise ou non ERC721R.
