GoPlus : Le contrat contrefait portant le même nom de ListaDAO a été attaqué par un hacker, le contrat officiel de ListaDAO n'a pas été affecté

Mars Finance a annoncé que, suite à l’incident récent d’attaque contre le contrat « ListaDAOLiquidStakingVault », la société a publié une déclaration pour clarifier que le contrat attaqué n’a pas été déployé par l’équipe officielle, mais qu’il s’agit d’un faux contrat créé par un tiers non vérifié utilisant un nom similaire. Tous les contrats officiels de ListaDAO n’ont pas été affectés par cet incident.

Selon une analyse approfondie de l’équipe de sécurité GoPlus, l’attaque a eu lieu le 16 avril 2026, la cause principale étant une faille dans la logique métier de ce contrat tiers. Lors d’un transfert de jetons, la fonction Dividend.setShares() est déclenchée, modifiant la comptabilisation des parts dans le contrat, ce qui influence le calcul des récompenses dans la fonction claimReward(). L’attaquant a exploité cette vulnérabilité pour épuiser les actifs présents dans le contrat.

GoPlus rappelle que, puisque cette faille logique existe dans les deux segments de code de contrat mentionnés, tout projet de développement bifurqué ou réutilisant ce code court également un risque élevé d’exploitation. Il est conseillé aux développeurs concernés de procéder rapidement à une vérification et à une correction du code, tout en mettant en place un mécanisme d’audit continu pour garantir la sécurité des contrats intelligents.