Lido afirma que os tokens LDO e stETH permanecem seguros apesar dos ataques de 'depósito falso'

A empresa de segurança Blockchain SlowMist identificou um problema operacional no contrato do Token LDO que supostamente foi explorado por atores mal-intencionados.

O protocolo de piquetagem Ethereum, Lido Finance, afirma que uma aparente falha na lógica de seu contrato de token não é motivo de preocupação.

Em uma postagem X em 10 de setembro, a empresa de segurança blockchain SlowMist disse ter identificado um problema operacional com o contrato LDO Token, que afirma ter sido recentemente explorado por atores maliciosos para ataques de “depósitos falsos” em exchanges.

2. Esteja ciente de que existem muitos contratos de tokens no mercado que não aderem ao padrão ERC20. Antes de integrar novos tokens, garanta um profundo entendimento e análise de seu código de contrato para garantir a lógica de depósito correta.

- SlowMist (@SlowMist_Team) 10 de Setembro de 2023

“Especificamente, quando o contrato de token LDO executa uma operação de transferência com uma quantidade que excede as posses reais do usuário, ele não aciona a reversão usual da transação. Em vez disso, apenas retorna “falso” como resultado, em vez de indicar uma falha”, escreveu SlowMist no X.

O contrato falho supostamente permite que um ator mal-intencionado envie mais tokens LDO para uma exchange do que realmente possui – uma discrepância que pode ser ignorada por muitas exchanges.

Lido respondeu às reivindicações do SlowMist, dizendo que o comportamento do contrato não era nada fora do comum e estava em conformidade com o padrão de token ERC-20. A plataforma de staking garantiu aos usuários que tanto o LDO quanto o ETH apostado (stETH) permaneceriam seguros.

Este comportamento é esperado e está em conformidade com o padrão de token ERC20 (veja o tweet abaixo). Tanto a LDO como a stETH (e a governação do Lido) permanecem seguras.

Os guias de integração do token Lido serão atualizados com especificações do LDO para tornar isso mais visível em breve.

- Lido (@LidoFinance) 10 de Setembro de 2023

Normalmente, o padrão de token ERC-20 exige que a função de transferência seja revertida se o remetente não tiver fundos suficientes. Embora pareça que o contrato do Lido se desvia desta norma, o Lido afirma que as funções de transferência são necessárias para devolver o estado da transferência e reverter as transações em casos excepcionais. 

No entanto, um usuário X apontou que a documentação EIP a que Lido se referiu estipula que a transferência deve ser revertida se o valor da transferência ultrapassar o saldo do usuário.

sim, mas verifique o requisito abaixo quando o valor da transferência exceder o saldo do usuário. pic.twitter.com/JZTx7o8ucy

- 0xluckhu (@ HUFAYU1985) 11 de Setembro de 2023

“A exploração desta falha de segurança levanta questões mais amplas sobre a confiabilidade dos contratos de tokens e a adesão aos padrões da indústria. Com a crescente complexidade dos contratos de token, o risco de vulnerabilidades semelhantes é substancial”, disse outro usuário do X.