GoPlus: Lumi Finance подвергся атаке из-за недостатков в проверке подписи смарт-контракта учетной записи

Сообщение ChainCatcher, согласно анализу GoPlus, Lumi Finance на Arbitrum подвергся атаке 13 июля, в результате чего было потеряно около 270 тысяч долларов.

Уязвимость возникла из-за логического дефекта в функции validateUserOp в смарт-контракте Sodium (ERC-4337), когда при вызове _validateSignature для проверки подписи параметр signer передавался как адрес атакующего. После ошибки вызова ECDSA.tryRecover не произошло отката, и вместо этого был вызван функция isValidSignature в атакующем контракте, которая прошла проверку. Атакующий использовал эту уязвимость для выполнения операции Token approve в период проверки UserOperation, получив разрешение на одобрение ERC20 токенов из нескольких смарт-аккаунтов без разрешения плательщика.