GoPlus：ListaDAO ликвидный залоговый хранилище подверглось атаке, злоумышленник использовал логическую уязвимость для кражи средств

Mars Finance сообщает, что GoPlus Security опубликовала анализ, в котором говорится, что контракт ликвидного залога (Liquid Staking Vault) ListaDAO был атакован из-за дефекта бизнес-логики. Атакующий при переводе определённых токенов активировал функцию расчёта доли в контракте Dividend, что повлияло на логику получения наград за залог, в результате чего было украдено значительное количество активов с контракта. GoPlus Security предупреждает, что этот уязвимый участок логики присутствует одновременно в контрактах Liquid Staking Vault и Dividend, и любые их форки или повторные реализации несут высокий риск эксплуатации. Настоятельно рекомендуется разработчикам и проектам провести аудит и исправить уязвимость. Безопасность смарт-контрактов не должна зависеть от «однократного аудита».