Gnosis Pay dokonuje analizy incydentu bezpieczeństwa: luka wynikała z defektu w logice weryfikacji podpisu, została już naprawiona

Foresight News poinformowało, że Gnosis Pay opublikowało raport z analizy incydentu bezpieczeństwa z 1 czerwca, ujawniając, że źródłem luki był błąd w logice weryfikacji podpisu ERC-1271 w module Zodiac: system odczytywał jedynie wynik zwracany przez kontrakt, nie sprawdzając, czy wywołanie zostało faktycznie wykonane poprawnie. Atakujący wykorzystał to, wdrażając kontrakt celowo powodujący błąd, ale jednocześnie zwracający oznaczenie „ważny”, co pozwoliło mu podszyć się pod autoryzację i wyprowadzić środki z kont, do których nie miał uprawnień. Luka ta została wprowadzona w wersji 3.4.0 kodu Zodiac w październiku 2023 roku i naprawiona 5 czerwca. Z raportu wynika, że atakujący wyprowadził około 1,5 miliona dolarów, dotykając 5281 portfeli, w tym ok. 641 tysięcy dolarów w GNO, ok. 453 tysięcy dolarów w EURe oraz ok. 399 tysięcy dolarów w USDC.e. Dodatkowo około 300 tysięcy dolarów jest zablokowanych na niedostępnych kontach i zespół pracuje nad możliwością ich odzyskania. Gnosis Pay oświadczyło, że planuje poszerzyć zespół ds. bezpieczeństwa, wdrożyć zewnętrzne audyty i rozszerzyć zakres audytów inteligentnych kontraktów oraz zakończyło gruntowną przebudowę produktu (v2), aby zwiększyć zdolność reagowania na zagrożenia bezpieczeństwa.