#hack #GenomesDAO

Взломан GenomesDAO - https://genomes.io/ - DAO сервиса монетизации генетических данных в сети Polygon.

Сумма ущерба - около 25.5 ETH (использовался Wrapped ETH на Polygon).

Уязвимость нашлась в контракте стейкинга LP-токенов (токенов поставщиков ликвидности).
Функция инициализации "initialize" вызывала функцию "initialized", которая оказалась публичной и позволила взломщику подменить адрес токена, используемого для стейкинга, на адрес "самодельного" токена.
Затем было произведено вложение фиктивных токенов в обмен на токены LPSTAKING, которые после вызовa "initialized" с первоначальным значением были обменяны на реальные LP-токены.

Один из контрактов стейкинга:
прокси - https://polygonscan.com/address/0x3606cfa43f53098bc00b3fcff3a333f6947f3c92
реализация с уязвимостью - https://polygonscan.com/address/0x41476c8d9f24a95dde65bcd38a2948f7a667696b
(было задействовано несколько аналогичных контрактов для разных токенов)

Транзакция печати огромного количества самодельных LP-токенов
https://polygonscan.com/tx/0xcaa5f1193d5fb88d52b1de30bd0a12fd8269514f08e0bc5d69782b7c24a5f4fe

Транзакция вложения фиктивных токенов и вывода реальных (процесс повторён несколько раз для разных токенов)
https://polygonscan.com/tx/0x252a7e6f23ffb516c23df2a3b2e09b42d00a06fa4e9a5830e74fb35581f7632c

Транзакция дальнейшего обмена на WETH
https://polygonscan.com/tx/0x82cebaf092bc6a4c9235daeda6a9b504a873844c41dc31c51dbeebbab96a90bf