GoPlus: Контракт ListaDAO с похожим названием подвергся атаке хакеров, однако официальный контракт ListaDAO не пострадал

В ответ на недавнюю атаку на контракт «ListaDAOLiquidStakingVault» проект ListaDAO официально выпустил заявление, в котором разъяснил, что подвергшийся атаке контракт не был развернут официальной командой, а представлял собой поддельный контракт, созданный непроверенной третьей стороной с использованием похожего названия. Данный инцидент не повлиял на все официальные контракты ListaDAO.

Согласно результатам углубленного анализа, проведенного командой безопасности GoPlus, атака произошла 16 апреля 2026 года, а ее основной причиной стал недостаток в бизнес-логике стороннего контракта. При передаче токена запускалась функция Dividend.setShares(), что приводило к изменению учета долей в рамках контракта, что, в свою очередь, влияло на расчет вознаграждения в функции claimReward(). Злоумышленник воспользовался этой уязвимостью, чтобы опустошить средства в контракте.

GoPlus напоминает, что, поскольку этот логический изъян присутствует в обоих упомянутых выше фрагментах кода контракта, любые проекты разработки, которые создают форки или повторно используют этот код, подвергаются высокому риску взлома. Рекомендуется, чтобы соответствующие разработчики незамедлительно провели проверку кода и исправили обнаруженные ошибки, а также внедрили механизмы непрерывного мониторинга для обеспечения безопасности смарт-контрактов.