Щойно я побачив, як GoPlus Security опублікував важливий аналіз щодо експлойту в Liquid Staking Vault ListaDAO, і чесно кажучи, це досить критичне нагадування для всіх у сфері стейкінгу.

Отже, що сталося: зловмисники виявили логічну помилку в контрактах ListaDAO, яка дозволила їм маніпулювати функцією обчислення частки в контракті Dividend. Використовуючи це під час певних переказів токенів, вони фактично зламали механізм отримання нагород і вивели значну кількість активів. Досить складна атака.

Однак мене особливо зацікавило те, що GoPlus зазначив, що ця вразливість існує і в Liquid Staking Vault, і в Dividend контрактах. Це означає, що будь-який проект, який зробив форк або використав ці реалізації, потенційно також під ризиком. Це не лише проблема ListaDAO.

Більш широке значення? Це підкреслює, чому протоколи близького стейкінгу та подібні механізми доходу потребують серйозного аналізу. Ми бачимо все складнішу фінансову логіку, закладену у смарт-контракти, і одна маленька помилка у бізнес-логіці може спричинити масштабні втрати. Йдеться не лише про правильне виконання коду — йдеться про те, чи має економічний дизайн дірки.

GoPlus робить слушний висновок наприкінці: аудит смарт-контрактів — це не одноразова перевірка. Проекти повинні постійно переглядати свої реалізації, особливо коли йдеться про розподіл нагород і обчислення часток.

Якщо ви залучені до будь-якого протоколу стейкінгу або доходу, це варто детально вивчити. Розробники зараз мають переглядати свої контракти на схожі вразливості.