Вслед за обвинениями в уязвимостях своего токенового контракта, Lido Finance, первый в мире протокол жидкого стейкинга Ethereum, категорически подтвердил безопасность своих токенов LDO и staked-Ether (stETH). Предупреждение было дано SlowMist, компанией по блокчейн-безопасности, которая раскрыла, что дефективный токен-контракт LDO может потенциально распахнуть дорогу злоумышленникам для инициации «фальшивых депозитов» на платформах.
Анатомия недостатка «Фальшивый депозит»
Компания-разработчик безопасности определила, что недостаток заключается в токен-контракте LDO, позволяющем совершать транзакции даже когда у пользователей недостаточно средств, что отклоняется от стандартных условий токенов Ethereum Request for Comment 20 (ERC-20). Это отклонение позволяет проводить переводы, в которых введенная сумма превышает реальную сумму, находящуюся у пользователя, создавая таким образом ложный возврат вместо отмены транзакции. Совет SlowMist также призвал держателей LDO внимательно проверять возвращаемые значения контрактов токенов при оценке успешных и неудачных транзакций.
Решительное отрицание Lido
В отличие от утверждений, представленных SlowMist, Lido настойчиво защищали целостность своего протокола, заявив, что такой недостаток есть во всех токенах ERC-20, и не является эксклюзивным для токена LDO Lido. Подкрепляя свою позицию, компания привела положения из официального документа предложения по улучшению Ethereum, соавтором которого был Виталик Бутерин в ноябре 2015 года. В этом документе говорилось, что функции “transfer” и “transferFrom” необходимы для возвращения статуса трансфера, оставляя отмену транзакций для чрезвычайных обстоятельств.
