Slow Mist: GenomesDAO がハッキングされ、LPSTAKING 契約の資金が予期せず引き落とされました

Slow Mist のハクティビストによると、Polygon の @GenomesDAO プロジェクトがハッキングされ、その LPSTAKING 契約で予期せぬ資金の引き出しが発生しました。この事件の理由は、GenomesDAO の LPSTAKING コントラクトが任意に繰り返し初期化されて重要なパラメーターを設定できるため、悪意を持ってコントラクトの担保を使い果たす可能性があるためです。 SlowMist のセキュリティ チームは次のように分析しました。 1. GenomesDAO の LPSTAKING コントラクトの初期化された関数はパブリックに呼び出し可能であり、権限がなく、再初期化できないため、攻撃者は初期化された関数を使用して、コントラクトの stakingToken を、によって作成された偽の LP トークンに設定します。攻撃者。 2. 次に、攻撃者はステーク機能を使用して偽の LP トークンを抵当に入れ、大量の LPSTAKING 抵当証明書を取得します。 3. 証明書を取得した後、再度初期化関数を介してコントラクトの stakingToken を元の実 LP トークンに設定し、撤回関数を介して LPSTAKING 証明書を破棄して、コントラクト内の実 LP 担保を取得します。 4. 最後に、LP を DEX に送信して、利益のために流動性を取り除きます。