Lumi Financeが攻撃を受け、約27万米ドルの損失が発生

ChainCatcherの報道によると、GoPlusの分析で、Arbitrum上のLumi Financeは7月13日に攻撃を受け、約27万ドルの損失が発生しました。

脆弱性はSodiumスマートアカウントコントラクト（ERC-4337）のvalidateUserOp関数に起因します。_validateSignatureで署名検証を行う際、ロジックの欠陥がありました。isValidSignatureNow実行時、signerパラメータとして攻撃者のアドレスが渡され、ECDSA.tryRecoverの呼び出しでエラーが発生してもrevertせず、攻撃コントラクト内のisValidSignature関数を呼び出して検証を通過してしまいます。攻撃者はこの脆弱性を利用し、UserOperationの検証過程でToken approve操作を実行し、支払者の許可なく複数のスマートアカウントからERC20トークンの承認権限を取得しました。