Lido sier at LDO, stETH-tokens forblir trygge til tross for "falske innskudd"-angrep

Blockchain-sikkerhetsfirmaet SlowMist identifiserte et driftsproblem i LDO Token-kontrakten som angivelig har blitt utnyttet av ondsinnede aktører.

Ethereum-innsatsprotokollen Lido Finance hevder at en tilsynelatende feil i logikken i token-kontrakten ikke er en grunn til bekymring.

I et X-innlegg 10. september sa blockchain-sikkerhetsfirmaet SlowMist at det hadde identifisert et operasjonelt problem med LDO Token-kontrakten, som den hevder nylig har blitt utnyttet av ondsinnede aktører for "falske innskudd"-angrep på børser.

2. Vær oppmerksom på at det er mange token-kontrakter i markedet som ikke overholder ERC20-standarden. Før du integrerer nye tokens, sørg for en dyp forståelse og analyse av kontraktkoden deres for å sikre riktig innskuddslogikk.

- SlowMist (@SlowMist_Team) September 10, 2023

"Når LDO-tokenkontrakten utfører en overføringsoperasjon med en mengde som overstiger brukerens faktiske beholdning, utløser den ikke den vanlige tilbakeføringen av transaksjoner. I stedet returnerer det bare "falsk" som utfall i stedet for å indikere en fiasko, skrev SlowMist på X.

Den mangelfulle kontrakten tillater visstnok en ondsinnet aktør å avslutte flere LDO-tokens til en utveksling enn de faktisk har – et avvik som kan bli oversett av mange utvekslinger.

Lido svarte på SlowMists påstander og sa at kontraktens oppførsel ikke var noe utenom det vanlige og at den samsvarer med ERC-20 token-standarden. Staking-plattformen forsikret brukerne om at både LDO og staked ETH (stETH) forble trygge.

Denne oppførselen er forventet og samsvarer med ERC20-tokenstandarden (se tweet nedenfor). Både LDO og stETH (og Lido-styring) forblir trygge.

Lido token-integrasjonsveiledninger vil bli oppdatert med LDO-spesifikasjoner for å gjøre dette mer synlig om kort tid.

- Lido (@LidoFinance) September 10, 2023

Vanligvis krever ERC-20-tokenstandarden at overføringsfunksjonen skal reverseres hvis avsenderen mangler tilstrekkelige midler. Selv om det ser ut til at Lidos kontrakt avviker fra denne standarden, hevder Lido at overføringsfunksjoner kreves for å returnere overføringsstatus og tilbakestille transaksjoner i unntakstilfeller. 

En X-bruker påpekte imidlertid at EIP-dokumentasjonen som Lido viste til stiller krav om at overføringen skal reverseres dersom overføringsbeløpet overstiger brukerens saldo.

ja, men sjekk under kravet når overføringsbeløpet overstiger brukersaldoen. pic.twitter.com/JZTx7o8ucy

— 0xluckhu (@HUFAYU1985) September 11, 2023

"Utnyttelsen av denne sikkerhetsfeilen reiser bredere spørsmål om påliteligheten til token-kontrakter og overholdelse av industristandarder. Med den økende kompleksiteten til token-kontrakter, er risikoen for lignende sårbarheter betydelig," sa en annen bruker på X.