リド氏、「偽預金」攻撃にもかかわらずLDO、stETHトークンは安全だと発言

ブロックチェーン セキュリティ会社 SlowMist は、悪意のある攻撃者によって悪用されたとされる LDO トークン契約の運用上の問題を特定しました。

イーサリアムステーキングプロトコルのLido Financeは、トークンコントラクトのロジックにおける明らかな欠陥は懸念の原因ではないと主張している。

10月XNUMX日のX投稿で、ブロックチェーンセキュリティ会社スローミストは、LDOトークン契約の運用上の問題を特定したと述べ、最近悪意のある者によって取引所に対する「偽の預金」攻撃に悪用されていると主張している。

2. 市場には ERC20 標準に準拠していないトークン契約が多数あることに注意してください。 新しいトークンを統合する前に、そのコントラクト コードを深く理解して分析し、正しい入金ロジックを確保してください。

— SlowMist（@SlowMist_Team） 2023 年 9 月 10 日

「具体的には、LDO トークン コントラクトがユーザーの実際の保有量を超える量の転送操作を実行した場合、通常のトランザクション ロールバックはトリガーされません。 代わりに、失敗を示すのではなく、結果として単に「false」を返すだけです。」 書いた Xのスローミスト。

この欠陥のある契約により、悪意のある攻撃者は実際に保有しているよりも多くの LDO トークンを取引所に終了させることができると考えられていますが、この矛盾は多くの取引所で見落とされている可能性があります。

LidoはSlowMistの主張に対し、契約の動作は異常なものではなく、ERC-20トークン標準に準拠していると述べた。 ステーキングプラットフォームは、LDO とステーキングされた ETH (stETH) の両方が安全であることをユーザーに保証しました。

この動作は予期されたものであり、ERC20 トークン標準に準拠しています (以下のツイートを参照)。 LDO と stETH (および Lido ガバナンス) は両方とも安全なままです。

Lido トークン統合ガイドは、間もなく LDO の詳細を追加して更新され、よりわかりやすくなる予定です。

—リド（@Li​​doFinance） 2023 年 9 月 10 日

通常、ERC-20 トークン標準では、送信者に十分な資金がない場合に転送機能を取り消すことが求められます。 Lido の契約はこの標準から逸脱しているように見えますが、Lido は、転送ステータスを返し、例外的な場合にはトランザクションを元に戻すには転送機能が必要であると主張しています。 

しかし、ある X ユーザーは、Lido が参照した EIP ドキュメントには、送金金額がユーザーの残高を超えた場合には送金を取り消す必要があると規定されていると指摘しました。

はい、ただし、送金額がユーザー残高を超える場合は、以下の要件を確認してください。 pic.twitter.com/JZTx7o8ucy

— 0xluckhu (@HUFAYU1985) 2023 年 9 月 11 日

「このセキュリティ上の欠陥が悪用されると、トークン契約の信頼性と業界標準の順守について、より広範な疑問が生じます。 トークン契約の複雑さが増すにつれ、同様の脆弱性が発生するリスクはかなり大きくなります」と X の別のユーザーは述べています。