慢雾：GenomesDAO 遭受黑客攻击，导致其 LPSTAKING 合约中资金被非预期的取出

据慢雾区 hacktivist，Polygon 上 @GenomesDAO 项目遭受黑客攻击，导致其 LPSTAKING 合约中资金被非预期的取出。本次事件是因为 GenomesDAO 的 LPSTAKING 合约可被任意重复初始化设置关键参数而导致合约中的抵押物被恶意耗尽。慢雾安全团队分析如下：1. 由于 GenomesDAO 的 LPSTAKING 合约的 initialized 函数公开可调用且无权限与不可能重复初始化限制，攻击者利用 initialized 函数将合约的 stakingToken 设置为攻击者创建的虚假 LP 代币。2. 随后攻击者通过 stake 函数进行虚假 LP 代币的抵押操作，以获得大量的 LPSTAKING 抵押凭证。3. 获得凭证后再次通过 initialized 函数将合约的 stakingToken 设置为原先真是的 LP 代币，随后通过 withdraw 函数销毁 LPSTAKING 凭证获取合约中真实的 LP 抵押物。4. 最后将 LP 发送至 DEX 中移除流动性获利。