GoPlus: ListaDAO 동일 이름의 모조 계약이 해커 공격을 받았으나, ListaDAO 공식 계약은 영향을 받지 않았습니다

최근 발생한 "ListaDAOLiquidStakingVault" 계약 공격 사건에 대해 ListaDAO 공식은 해당 공격받은 계약이 공식 배포된 것이 아니라, 검증되지 않은 제3자가 유사한 이름으로 만든 모조 계약임을 명확히 하는 성명을 발표했습니다. ListaDAO의 공식 계약은 이 사건의 영향을 받지 않았습니다.

GoPlus 보안 팀의 심층 분석에 따르면, 이번 공격은 2026년 4월 16일에 발생했으며, 근본 원인은 해당 제3자 계약에 비즈니스 로직 결함이 존재했기 때문입니다. 토큰 전송이 이루어질 때 Dividend.setShares() 함수가 호출되어 계약 내의 지분 회계가 변경되며, 이로 인해 claimReward() 함수의 보상 계산에 영향을 미쳤습니다. 공격자는 바로 이 취약점을 이용해 해당 계약 내의 자산을 고갈시켰습니다.

GoPlus는 위의 두 계약 코드에 동일한 로직 결함이 존재하기 때문에, 해당 코드를 분기하거나 재사용하는 개발 프로젝트는 높은 이용 위험에 직면해 있다고 경고합니다. 관련 개발자에게는 코드 점검 및 수정 작업을 신속히 진행하고, 스마트 계약의 안전성을 보장하기 위해 지속적인 감사 메커니즘을 도입할 것을 권장합니다.