Взломан GenomesDAO - https://genomes.io/ - DAO сервиса монетизации генетических данных в сети Polygon.
Сумма ущерба - около 25.5 ETH (использовался Wrapped ETH на Polygon).
Уязвимость нашлась в контракте стейкинга LP-токенов (токенов поставщиков ликвидности). Функция инициализации "initialize" вызывала функцию "initialized", которая оказалась публичной и позволила взломщику подменить адрес токена, используемого для стейкинга, на адрес "самодельного" токена. Затем было произведено вложение фиктивных токенов в обмен на токены LPSTAKING, которые после вызовa "initialized" с первоначальным значением были обменяны на реальные LP-токены.
Один из контрактов стейкинга: прокси - https://polygonscan.com/address/0x3606cfa43f53098bc00b3fcff3a333f6947f3c92 реализация с уязвимостью - https://polygonscan.com/address/0x41476c8d9f24a95dde65bcd38a2948f7a667696b (было задействовано несколько аналогичных контрактов для разных токенов)
Транзакция печати огромного количества самодельных LP-токенов https://polygonscan.com/tx/0xcaa5f1193d5fb88d52b1de30bd0a12fd8269514f08e0bc5d69782b7c24a5f4fe
Транзакция вложения фиктивных токенов и вывода реальных (процесс повторён несколько раз для разных токенов) https://polygonscan.com/tx/0x252a7e6f23ffb516c23df2a3b2e09b42d00a06fa4e9a5830e74fb35581f7632c
Транзакция дальнейшего обмена на WETH https://polygonscan.com/tx/0x82cebaf092bc6a4c9235daeda6a9b504a873844c41dc31c51dbeebbab96a90bf
