Slow Mist: GenomesDAO đã bị hack, dẫn đến việc rút tiền bất ngờ trong hợp đồng LPSTAKING của nó

Theo tin tặc trong Slow Mist, dự án @GenomesDAO trên Polygon đã bị tấn công, dẫn đến việc rút tiền bất ngờ trong hợp đồng LPSTAKING của nó. Nguyên nhân của sự cố này là do hợp đồng LPSTAKING của GenomesDAO có thể được khởi tạo tùy ý và lặp đi lặp lại để đặt các tham số chính, khiến tài sản thế chấp trong hợp đồng bị cạn kiệt một cách độc hại. Nhóm bảo mật SlowMist đã phân tích như sau: 1. Vì chức năng khởi tạo của hợp đồng LPSTAKING của GenomesDAO có thể gọi công khai và không có quyền cũng như không thể khởi tạo lại, nên kẻ tấn công sử dụng chức năng đã khởi tạo để đặt stakingToken của hợp đồng thành mã thông báo LP giả được tạo bởi kẻ tấn công. 2. Sau đó, kẻ tấn công sử dụng chức năng cổ phần để thế chấp mã thông báo LP giả để lấy một số lượng lớn chứng chỉ thế chấp LPSTAKING. 3. Sau khi nhận được chứng chỉ, hãy đặt lại Mã thông báo đặt cược của hợp đồng thành mã thông báo LP thực ban đầu thông qua chức năng đã khởi tạo, sau đó hủy chứng chỉ LPSTAKING thông qua chức năng rút tiền để nhận tài sản thế chấp LP thực trong hợp đồng. 4. Cuối cùng, gửi LP đến DEX để loại bỏ thanh khoản để kiếm lợi nhuận.