GoPlus: Der gleichnamige gefälschte ListaDAO-Vertrag wurde von Hackern angegriffen, der offizielle ListaDAO-Vertrag blieb jedoch unberührt.

Als Reaktion auf den jüngsten Angriff auf den Vertrag „ListaDAOLiquidStakingVault“ veröffentlichte ListaDAO offiziell eine Erklärung, in der klargestellt wurde, dass der angegriffene Vertrag nicht vom offiziellen Team bereitgestellt wurde, sondern ein gefälschter Vertrag war, der von einem nicht verifizierten Dritten unter Verwendung eines ähnlichen Namens erstellt wurde. Sämtliche offiziellen Verträge von ListaDAO waren von diesem Vorfall nicht betroffen.

Nach einer eingehenden Analyse des GoPlus-Sicherheitsteams ereignete sich der Angriff am 16. April 2026, und die Ursache war ein Fehler in der Geschäftslogik des Drittanbietervertrags. Bei einer Token-Übertragung wurde die Funktion Dividend.setShares() ausgelöst und die Aktienbuchhaltung innerhalb des Vertrags geändert, was sich wiederum auf die Belohnungsberechnung in der Funktion claimReward() auswirkte. Der Angreifer nutzte diese Schwachstelle aus, um die im Vertrag enthaltenen Vermögenswerte zu erschöpfen.

GoPlus weist darauf hin, dass aufgrund dieses logischen Fehlers, der in beiden Teilen des oben genannten Vertragscodes vorliegt, alle Entwicklungsprojekte, die diesen Code abspalten oder wiederverwenden, einem hohen Risiko ausgesetzt sind, ausgenutzt zu werden. Es wird empfohlen, dass die zuständigen Entwickler umgehend Codeinspektionen und -korrekturen durchführen und kontinuierliche Prüfmechanismen implementieren, um die Sicherheit von Smart Contracts zu gewährleisten.