Il Contesto delle Preoccupazioni
Recentemente, sono emerse preoccupazioni riguardo a possibili vulnerabilità nel contratto token di Lido Finance, il principale protocollo di staking liquido Ethereum a livello globale. SlowMist, una nota azienda di sicurezza blockchain, ha sollevato l’allarme, suggerendo che il contratto token difettoso di LDO potrebbe permettere ad attori malintenzionati di lanciare attacchi di “falsi depositi” su diverse piattaforme.
Le guide di integrazione dei token Lido verranno presto aggiornate con le specifiche LDO per renderlo più visibile.
Analisi della Vulnerabilità “Falso Deposito”
SlowMist ha identificato una vulnerabilità nel contratto token di LDO che permette transazioni anche quando gli utenti non hanno fondi sufficienti. Questo si discosta dalle norme standard dei tokens Ethereum ERC-20. Questa discrepanza consente transazioni in cui l’importo inserito supera l’effettivo saldo dell’utente, risultando in un feedback errato invece di annullare la transazione. SlowMist ha consigliato ai detentori di LDO di monitorare attentamente i feedback delle transazioni dei contratti token e di valutare il successo o il fallimento delle transazioni.
La Risposta di Lido
Contrariamente alle affermazioni di SlowMist, Lido Finance ha difeso con forza l’integrità del proprio protocollo. Hanno sottolineato che tale vulnerabilità è intrinsecamente presente in tutti i tokens ERC-20 e non è specifica del token LDO di Lido. A sostegno della loro posizione, Lido ha citato parti del documento ufficiale di proposta di miglioramento di Ethereum, co-scritto da Vitalik Buterin nel 2015. Questo documento evidenziava che le funzioni “transfer” e “transferFrom” sono progettate per restituire lo stato della transazione, riservando l’annullamento della transazione solo a circostanze eccezionali.
Conclusione
Nonostante le preoccupazioni sollevate, Lido Finance ha rassicurato la comunità sulla sicurezza dei suoi tokens, sottolineando che le presunte vulnerabilità sono inerenti alla natura dei tokens ERC-20 e non sono specifiche del loro token LDO.
