슬로우 미스트: GenomesDAO가 해킹되어 예기치 않게 LPSTAKING 계약 자금이 인출되었습니다.

Slow Mist의 핵티비스트에 따르면 Polygon의 @GenomesDAO 프로젝트가 해킹되어 LPSTAKING 계약에서 예상치 못한 자금이 인출되었습니다. 이번 사고의 원인은 GenomesDAO의 LPSTAKING 컨트랙트가 핵심 파라미터를 설정하기 위해 임의로 반복적으로 초기화될 수 있어 컨트랙트의 담보가 악의적으로 소진될 수 있기 때문입니다. SlowMist 보안팀은 다음과 같이 분석했습니다. 1. GenomesDAO의 LPSTAKING 컨트랙트의 초기화 함수는 공개적으로 호출 가능하고 권한이 없으며 재초기화할 수 없기 때문에 공격자는 초기화 함수를 사용하여 컨트랙트의 stakingToken을 생성한 가짜 LP 토큰으로 설정합니다. 공격자. 2. 그런 다음 공격자는 스테이크 기능을 사용하여 가짜 LP 토큰을 저당하여 많은 수의 LPSTAKING 모기지 인증서를 얻습니다. 3. 인증서 획득 후 다시 초기화 기능을 통해 컨트랙트의 stakingToken을 원래의 실물 LP 토큰으로 설정한 후, 철회 기능을 통해 LPSTAKING 인증서를 파기하여 컨트랙트의 실물 LP 담보를 획득합니다. 4. 마지막으로 LP를 DEX로 보내 유동성을 제거하여 수익을 얻습니다.