Arbitrum : Lumi Finance perd environ 270'000 $ après une faille de smart contract
Résumé du marché par IA
Selon certaines informations, Lumi Finance sur Arbitrum aurait perdu ~270"k $ après qu'une faille dans la logique de validation des signatures d'un smart account ERC-4337 (Sodium) a permis à un attaquant de contourner les vérifications et de déclencher des autorisations de jetons pendant la validation de UserOperation. L'incident souligne les risques de sécurité liés aux smart accounts et à l'account abstraction, ce qui pourrait atténuer la confiance à court terme dans les intégrations DeFi d'Arbitrum utilisant des schémas de validation similaires et accroître la surveillance des flux wallet/paymaster et des audits de contrats.
Niveau d'impact
● Moyen
Actifs concernés
ARB/USDT-1.57%
Infos de l'IA · ARB/USDTInfos de l'IA
▼ Baissier
Trader maintenant
⚠️ Les infos générées par l'IA sont basées sur des contenus d'actualité et fournies à titre informatif uniquement. Elles ne constituent pas des conseils en investissement et ne reflètent pas les positions de BingX. Investir comporte des risques. Tradez de manière responsable.
Selon ChainCatcher, citant une analyse de GoPlus, Lumi Finance sur Arbitrum a été victime d'une attaque le 13 juillet, pour une perte estimée à environ 270'000 $. L'incident provient d'un défaut de logique dans la fonction validateUserOp du contrat de compte intelligent Sodium (ERC4337).
Au moment de vérifier la signature via _validateSignature, la fonction isValidSignatureNow a été appelée en utilisant l'adresse de l'attaquant comme paramètre "signer". Après l'échec de ECDSA.tryRecover, le contrat n'a pas annulé l'opération : il a enchaîné sur l'appel à isValidSignature au sein du contrat de l'attaquant, ce qui a permis de valider la vérification.
En exploitant cette vulnérabilité, l'attaquant a exécuté des opérations d'approbation (approve) de jetons durant la phase de validation des UserOperation, obtenant des droits d'approbation sur des ERC20 depuis plusieurs comptes intelligents, sans l'accord du paymaster.
