Lido đảm bảo LDO, mã thông báo stETH vẫn an toàn bất chấp lỗ hổng trong hợp đồng mã thông báo
Cuộc tấn công “gửi tiền giả” cho phép kẻ xấu thực hiện chuyển khoản trong đó giá trị được yêu cầu lớn hơn giá trị mà người dùng thực sự sở hữu.
Giao thức đặt cược Ethereum Lido Finance đã đảm bảo cả mã thông báo Lido DAO (LDO) và staked-Ether (stETH) vẫn an toàn mặc dù tin tặc bị cáo buộc khai thác lỗ hổng bảo mật đã biết trong hợp đồng mã thông báo của LDO.
Lido không xác nhận bất kỳ hành vi khai thác nào, nhưng thừa nhận lỗ hổng bảo mật đã được biết đến và đảm bảo rằng các quỹ LDO và stETH vẫn an toàn theo bài đăng ngày 10 tháng 9 của công ty bảo mật blockchain SlowMist.
SlowMist cho biết hợp đồng token thiếu sót của LDO cho phép các tác nhân xấu tạo điều kiện cho các cuộc tấn công “gửi tiền giả” trên các sàn giao dịch vì hợp đồng token của LDO cho phép người dùng thực hiện giao dịch ngay cả khi họ không có đủ tiền. Mã này khác với tiêu chuẩn mã thông báo Ethereum Yêu cầu Nhận xét 20 (ERC-20), theo SlowMist.
Tuy nhiên, Lido Finance lập luận rằng lỗ hổng này được tích hợp trong tất cả các token ERC-20 – không chỉ token LDO của Lido:
This behaviour is expected and conforms to the ERC20 token standard (see tweet below). Both LDO and stETH (and Lido governance) remain safe.
Lido token integration guides will be updated with LDO specifics to make this more visible shortly.
— Lido (@LidoFinance) September 10, 2023
SlowMist cho biết các cuộc tấn công “tiền gửi giả” xuất phát từ hợp đồng mã thông báo của LDO thực hiện chuyển khoản trong đó giá trị lớn hơn những gì người dùng thực sự sở hữu, gây ra lợi nhuận sai trái ngược với việc hoàn nguyên giao dịch. Mặc dù công ty cho biết hợp đồng token của Lido gần đây đã bị khai thác thông qua cuộc tấn công này nhưng không có bằng chứng trực tuyến nào được cung cấp.
Trong khi đó, nhà phân tích trực tuyến “Hercules” đã giải thích vào ngày 10 tháng 9 rằng lỗ hổng bảo mật có thể không được các sàn giao dịch tiền điện tử phát hiện.
SlowMist khuyến nghị chủ sở hữu LDO cũng nên kiểm tra giá trị trả lại của việc chuyển hợp đồng mã thông báo bên cạnh sự thành công hay thất bại của giao dịch.
Công ty bảo mật blockchain kết luận rằng việc triển khai và hành vi hợp đồng mã thông báo khác nhau tùy theo dự án và tiến hành thử nghiệm toàn diện trước khi tích hợp bất kỳ mã thông báo mới nào.
Tuy nhiên, Lido đã nhấn mạnh trong tài liệu Đề xuất cải tiến Ethereum chính thức — do Vitalik Buterin đồng tác giả vào tháng 11 năm 2015 — rằng cả hai hàm “transfer” và “transferFrom” đều phải trả về trạng thái chuyển và chỉ được khuyến nghị hoàn nguyên giao dịch trong những trường hợp đặc biệt.
ERC20 token standard: https://t.co/YlrS1ZN6Fd
1) Both transfer and transferFrom are required to return transfer status and are only recommended to revert a tx in exceptional cases.
2) The standard says that a caller is obliged to check the return status (see 'Token methods'). pic.twitter.com/6KTcIyxo2F
— Lido (@LidoFinance) September 10, 2023
Để giải quyết lỗ hổng bảo mật, Lido xác nhận hướng dẫn tích hợp mã thông báo LDO sẽ sớm được cập nhật.
