Lumi Financeが昨日攻撃を受け、約27万ドルの損失が発生

Odaily星球日报によると、GoPlusのモニタリングにより、Arbitrum上のLumi Financeが7月13日に攻撃を受け、約27万ドルの損失が発生したことが判明しました。この脆弱性は、SodiumスマートアカウントコントラクトERC-4337内のvalidateUserOp関数が_validateSignatureを呼び出して署名を検証する際に論理的欠陥が存在することに起因します。isValidSignatureNowの実行時に、signerパラメータが攻撃者のアドレスとして渡され、ECDSA.tryRecoverの呼び出しでエラーが発生した後もrevertされず、代わりに攻撃コントラクト内のisValidSignature関数が呼び出され、検証を通過してしまいました。