🚨 ALERTE D’EXPLOIT 🚨

@X7_Finance vient d’être vidé pour ~6,78 $ETH

Le Bug :
La logique de comptabilisation des récompenses est cassée dans claimRewards(). totalRewards s’incrémente à chaque appel de (balance - lastETHBalance), mais lastETHBalance ne se met à jour que lorsque claimable > 0.

L’Attaque :
→ Appeler avec un tableau vide (claimable reste à 0)
→ Le même solde non pris en compte est ajouté à totalRewards de façon répétée
→ La récompense par token gonfle artificiellement
→ L’attaquant fait un don d’ETH pour augmenter le delta
→ Vide le contrat

Vulnérabilité classique d’inflation des récompenses. Mettez toujours à jour les variables d’état de façon cohérente.

Attaquant : 0xc79352119a7cf6efbfabbd7e6b013b79687bacf2
Contrat Victime : 0x70000299ee8910ccacd97b1bb560e34f49c9e4f7

Restez en sécurité là-bas 🛡️