Lumi Finance angegriffen, Verlust von etwa 270.000 US-Dollar

Lumi Finance wurde am 13. Juli angegriffen und erlitt einen Verlust von etwa 270.000 US-Dollar. Die Schwachstelle stammt aus der validateUserOp-Funktion im Sodium Smart Account Contract (ERC-4337) auf Arbitrum, die bei der Aufrufung von _validateSignature zur Signaturüberprüfung einen logischen Fehler aufwies. Der Angreifer übergab seine Adresse als signer-Parameter, was dazu führte, dass ECDSA.tryRecover einen Fehler ausgab, ohne zurückzukehren, und stattdessen die isValidSignature-Funktion im Angriffsvertrag aufrief und die Überprüfung bestand. Der Angreifer nutzte diese Schwachstelle aus, um während der UserOperation-Überprüfung eine Token-Approve-Operation auszuführen und ohne die Erlaubnis des Zahlers Genehmigungsrechte für ERC20-Token von mehreren Smart Accounts zu erhalten.

Haftungsausschluss: Dieser Inhalt wird nur zu allgemeinen Marketing- und Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle Events, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets oder zur Nutzung von Services betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. WEEX Services und Online-Aktionen sind möglicherweise nicht in allen Regionen verfügbar und unterliegen geltenden Gesetzen, Vorschriften und Berechtigungsanforderungen. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Nutzung von WEEX Services mit lokalen Gesetzen übereinstimmt, und sorgfältig die Risiken vor der Teilnahme an Krypto-bezogenen Aktivitäten zu bewerten.