Un difetto nel contratto intelligente del token Lido DAO (LDO) mette a rischio milioni: l'azienda di sicurezza crypto emette un avviso critico

L'azienda di sicurezza delle criptovalute SlowMist ha recentemente emesso un avviso su un difetto di sicurezza nel contratto intelligente del token LDO, che gli hacker hanno sfruttato per condurre attacchi di deposito fraudolento sugli exchange. Il difetto risiede nella non conformità del contratto allo standard ERC20, che tipicamente impone che una transazione di trasferimento debba essere annullata se il mittente non dispone di fondi sufficienti. Invece, il contratto intelligente del token LDO restituisce semplicemente un esito "falso", consentendo agli attori malintenzionati di trasferire più token di quelli che possiedono effettivamente.

L'avviso di SlowMist è stato corroborato da un tweet che delineava il problema operativo nel contratto del token LDO. Il tweet sottolineava che quando il contratto esegue un'operazione di trasferimento con una quantità superiore alle effettive disponibilità dell'utente, non innesca il solito annullamento della transazione. Invece, restituisce semplicemente "falso", ingannando così gli exchange che accreditano l'account dell'utente con un importo falso. Ciò consente all'utente di prelevare altri token dall'exchange utilizzando il saldo errato.

Azioni raccomandate per gli exchange

SlowMist ha delineato diverse misure precauzionali per gli exchange e le piattaforme che integrano token LDO per mitigare i rischi associati a questo difetto. In primo luogo, l'azienda ha dichiarato l'importanza di verificare non solo il successo o il fallimento della transazione, ma anche i valori restituiti dal contratto del token durante l'esecuzione di depositi di token. Questo ulteriore livello di verifica può fungere da salvaguardia contro i depositi fraudolenti.

In secondo luogo, SlowMist consiglia di condurre un'analisi completa del codice del contratto del token prima di integrare nuovi token, in particolare quelli che non sono conformi allo standard ERC20. Questo passaggio è vitale per comprendere le sfumature e le potenziali vulnerabilità di ogni contratto del token.

Infine, l'azienda di sicurezza raccomanda audit regolari del codice e controlli di sicurezza per garantire la robustezza e la sicurezza del sistema. Questi audit possono identificare potenziali debolezze e fornire un'opportunità per una tempestiva risoluzione.

Lo sfruttamento di questo difetto di sicurezza solleva domande più ampie sulla robustezza dei contratti dei token e sull'adesione agli standard del settore. Con la crescente complessità e varietà dei contratti dei token, il rischio di emergere di vulnerabilità simili è elevato. L'avviso di SlowMist serve come promemoria tempestivo per gli exchange e altre piattaforme di esercitare la dovuta diligenza e adottare rigorose misure di sicurezza.