GoPlus: ListaDAO został zaatakowany w wyniku luki logicznej w skarbcu płynnościowym, a napastnik wykradł środki

ChainCatcher donosi, że GoPlus Security opublikowało analizę, według której kontrakt ListaDAO Liquid Staking Vault został zaatakowany z powodu wady w logice działania. Atakujący podczas transferu określonych tokenów wywołał w kontrakcie Dividend funkcję obliczającą udziały, co wpłynęło na mechanizm odbierania nagród w staking vault, skutkując kradzieżą dużej ilości aktywów z kontraktu.

GoPlus Security ostrzega, że luka ta występuje zarówno w Liquid Staking Vault, jak i Dividend, więc wszelkie forki lub ponowne użycia tych implementacji obarczone są dużym ryzykiem wykorzystania. Zdecydowanie zaleca się deweloperom i projektom przeprowadzenie przeglądu kodu oraz naprawę wykrytych podatności. Bezpieczeństwo smart kontraktów nie powinno opierać się tylko na „jednorazowym audycie”.