GANA roubado: Chave privada vazada + alteração de parâmetros, todo o processo de ataque de centenas de U trocadas por dezenas de milhares de U.

【比推】O projeto GANA teve recentemente um grande incidente de segurança - o atacante apenas fez stake de algumas centenas de USDT, mas ao descongelar conseguiu retirar dezenas de milhares de USDT.

Um especialista em segurança descobriu que a raiz do problema estava na fuga da chave privada do proprietário do contrato GANA Payment Stake. Mas o atacante não transferiu os fundos de maneira simples e brusca; em vez disso, usou algumas técnicas: primeiro, contornou a verificação onlyEOA na função unstake usando a operação 7702 deleGate (essa verificação era originalmente para prevenir bots), e depois alterou discretamente os parâmetros Rate e Fee dentro do contrato.

Com esta combinação de movimentos, a proporção de troca entre stake e desestacar foi completamente distorcida. Essencialmente, isso foi feito ao alterar os parâmetros centrais do contrato inteligente, mudando as regras de saque para uma versão favorável ao atacante.

Este caso prova mais uma vez: a gestão de chaves privadas não pode ter qualquer negligência, e o design de permissões de contratos também precisa de múltiplas camadas de proteção.