GoPlus: O contrato falsificado de ListaDAO, com um nome semelhante, foi atacado por hackers, mas o contrato oficial da ListaDAO não foi afetado.

Em resposta ao recente ataque ao contrato "ListaDAOLiquidStakingVault", a ListaDAO divulgou oficialmente uma declaração esclarecendo que o contrato atacado não foi implantado pela equipe oficial, mas sim era um contrato falsificado criado por um terceiro não verificado usando um nome semelhante. Todos os contratos oficiais da ListaDAO não foram afetados por este incidente.

De acordo com uma análise aprofundada da equipe de segurança da GoPlus, o ataque ocorreu em 16 de abril de 2026, e a causa raiz foi uma falha na lógica comercial do contrato de terceiros. Quando uma transferência de token era feita, ela acionava a função Dividend.setShares() e alterava a contabilidade de ações dentro do contrato, o que, por sua vez, afetava o cálculo da recompensa na função claimReward() . O invasor explorou essa vulnerabilidade para esgotar os ativos dentro do contrato.

A GoPlus lembra que, como essa falha lógica existe em ambos os segmentos do código do contrato mencionados acima, quaisquer projetos de desenvolvimento que forkem ou reutilizezdem esse código enfrentam um alto risco de serem explorados. Recomenda-se que os desenvolvedores relevantes realizem inspeções e correções de código prontamente e implementem mecanismos de auditoria contínua para garantir a segurança dos contratos inteligentes.