Lumi Finance attaqué, perte d'environ 270 000 dollars

Lumi Finance a été attaqué le 13 juillet, entraînant une perte d'environ 270 000 dollars. La vulnérabilité provient de la fonction validateUserOp dans le contrat intelligent Sodium (ERC-4337) sur Arbitrum, qui présente un défaut logique lors de l'appel de _validateSignature pour vérifier la signature. L'attaquant a transmis son adresse comme paramètre signer, ce qui a conduit à une erreur dans ECDSA.tryRecover sans revert, permettant d'appeler la fonction isValidSignature dans le contrat d'attaque et de passer la vérification. L'attaquant a exploité cette vulnérabilité pour exécuter une opération Token approve pendant la vérification de UserOperation, obtenant ainsi des droits d'approbation pour des jetons ERC20 à partir de plusieurs comptes intelligents sans l'autorisation du payeur.

Avertissement : Ce contenu est fourni à des fins de communication et d'information générale uniquement et ne constitue en aucun cas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, événements en ligne ou toute information mentionnée dans ce document ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, échanger ou traiter de quelque manière que ce soit des actifs crypto, ni à utiliser un quelconque service. Les actifs crypto sont très volatils et peuvent entraîner des pertes. Les services et événements en ligne de WEEX peuvent ne pas être disponibles dans toutes les régions et sont soumis aux lois, réglementations et conditions d'éligibilité applicables. Il vous appartient de veiller à ce que votre utilisation des services WEEX respecte la législation locale et d'évaluer soigneusement les risques avant de participer à toute activité liée aux cryptomonnaies.