GoPlus：ListaDAO contrato falsificado com o mesmo nome foi atacado por hackers, o contrato oficial da ListaDAO não foi afetado

Notícias da Mars Finance, em relação ao recente incidente de ataque ao contrato “ListaDAOLiquidStakingVault”, a ListaDAO publicou uma declaração esclarecendo que o contrato atacado não foi implantado oficialmente, mas sim um contrato falsificado criado por um terceiro não verificado usando um nome semelhante. Os contratos oficiais da ListaDAO não foram afetados por esse incidente.
De acordo com uma análise aprofundada da equipe de segurança GoPlus, o ataque ocorreu em 16 de abril de 2026, e a causa fundamental foi uma falha na lógica de negócios desse contrato de terceiros. Quando ocorre uma transferência de tokens, a função Dividend.setShares() é acionada, alterando a contabilidade de cotas dentro do contrato, o que afeta o cálculo de recompensas na função claimReward().
O atacante aproveitou essa vulnerabilidade para esgotar os ativos dentro do contrato.
A GoPlus alerta que, como essa falha lógica também está presente nas duas trechos de código de contrato acima, qualquer projeto de desenvolvimento que utilize ou clone esse código enfrenta um alto risco de exploração.
Recomenda-se que os desenvolvedores relevantes realizem uma verificação e correção do código em tempo hábil, além de implementar mecanismos de auditoria contínua para garantir a segurança dos contratos inteligentes.