Gnosis Pay выявила уязвимость в логике проверки подписей ERC1271
Сводка рынка от ИИ
В постинцидентном обзоре Gnosis Pay подробно описывается уязвимость проверки подписей ERC1271 в модуле Zodiac, которая позволяла подделывать авторизации и проводить несанкционированные выводы средств. Злоумышленники вывели примерно $1,5 млн из 5 281 кошелька, включая около $641 тыс. в GNO, при этом еще около $300 тыс. застряли на недоступных счетах. Несмотря на то, что уязвимость была устранена и затем последовали переработка v2 и расширенные аудиты, раскрытие информации может оказать давление на краткосрочное доверие к безопасности смарт-контрактов, связанных с Gnosis.
Степень влияния
● Средний
Инсайт ИИИнсайт ИИ
▼ Медвежий
⚠️ Инсайты, сгенерированные ИИ, основаны на новостном контенте и предоставляются исключительно в информационных целях. Они не являются инвестиционной рекомендацией и не отражают позицию BingX. Торговля сопряжена с риском. Пожалуйста, торгуйте ответственно.
По данным ME News, 3 июля (UTC+8) Gnosis Pay опубликовала постинцидентный отчет о событии 1 июня. В документе говорится, что причина уязвимости — ошибка в логике валидации подписей ERC1271 в модуле Zodiac: система считывала лишь возвращаемое значение контракта, не проверяя, завершился ли вызов успешно. Этим воспользовались злоумышленники: они развернули контракт, который намеренно завершался с ошибкой, но при этом возвращал индикатор "valid". Это позволило подделывать авторизацию и выводить средства со счетов, которые им не принадлежали.
Уязвимость появилась в коде Zodiac версии 3.4.0 в октябре 2023 года и была устранена 5 июня. По оценке команды, злоумышленники вывели около $1,5 млн через 5 281 кошелек, включая примерно $641 000 в GNO, $453 000 в EURe и $399 000 в USDC.e. Еще около $300 000 остаются заблокированными на недоступных счетах; компания изучает варианты восстановления.
Gnosis Pay сообщила о планах расширить команду безопасности, привлечь внешние аудиты и увеличить охват проверок смарт-контрактов. Также завершена полная переработка продукта (v2), призванная усилить возможности реагирования на инциденты. (Источник: Foresight News)
