Lumi Finance a été attaqué, avec une perte d’environ 270 000 dollars

Selon ChainCatcher, d'après l'analyse de GoPlus, Lumi Finance sur Arbitrum a été attaqué le 13 juillet, entraînant une perte d'environ 270 000 dollars.

La vulnérabilité provient de la fonction validateUserOp dans le contrat de compte intelligent Sodium (ERC-4337), qui présente un défaut logique lors de la vérification de la signature via _validateSignature. Lors de l'exécution de isValidSignatureNow, le paramètre signer est l'adresse de l'attaquant ; après une erreur dans l'appel ECDSA.tryRecover qui n'est pas revert, le contrat passe à l'appel de la fonction isValidSignature de l'attaque et la vérification est réussie. L'attaquant a exploité cette faille pour effectuer l'opération Token approve pendant la vérification UserOperation, obtenant des droits d'approbation sur des tokens ERC20 à partir de plusieurs comptes intelligents sans l'autorisation des payeurs.