ListaDAO esclarece ataque a contrato falso, contratos oficiais não afetados

ChainCatcher relata que, em resposta ao recente ataque ao contrato "ListaDAOLiquidStakingVault", a ListaDAO emitiu um comunicado esclarecendo que o contrato atacado não foi implantado oficialmente, mas sim criado por um terceiro não verificado usando um nome semelhante. Todos os contratos oficiais da ListaDAO não foram afetados por este evento. Segundo análise aprofundada da equipe de segurança GoPlus, o ataque ocorreu em 16 de abril de 2026, e a causa raiz foi uma falha na lógica de negócios do contrato de terceiros. Ao realizar uma transferência de token, era acionada a função Dividend.setShares(), alterando o registro de cotas dentro do contrato e, consequentemente, afetando o cálculo de recompensas na função claimReward(). O atacante explorou essa vulnerabilidade para esgotar os ativos do contrato. A GoPlus alerta que, como essa falha lógica também está presente nos dois trechos de código do contrato, qualquer projeto de desenvolvimento que faça fork ou reutilize esse código está sujeito a alto risco de exploração. Recomenda-se que desenvolvedores relacionados realizem imediatamente uma verificação e correção do código, além de implementar mecanismos de auditoria contínua para garantir a segurança dos contratos inteligentes.