GoPlus：ListaDAO динамічний депозитарій для заставних активів зазнав атаки, зловмисник використав логічну уразливість для крадіжки коштів

Марсіанські фінансові новини: GoPlus Security опублікувала аналіз, у якому повідомляється, що контракт ліквідного стейкінгу (Liquid Staking Vault) ListaDAO був атакований через ваду в бізнес-логіці. Зловмисник під час переказу певних токенів активував функцію обчислення частки у контракті Dividend, що вплинуло на логіку отримання нагород у стейкінг-скрині, в результаті чого було викрадено значну кількість активів із контракту. GoPlus Security попереджає, що ця вразливість у логіці присутня одночасно у контрактах Liquid Staking Vault і Dividend, і будь-яка реалізація, що базується на їхньому форку або повторному використанні, має високий ризик експлуатації. Настійно рекомендується розробникам і проектам провести аудит і відповідно виправити вразливості. Безпека смарт-контрактів не повинна залежати від «одноразового аудиту».