Gnosis、6月1日のGnosis Pay侵害で約150万ドル流出と発表

事後検証によると、このソフトウェア上の欠陥は2023年10月以来存在し、カードセーフのエクスプロイトを可能にしていた。Gnosisは、影響を受けた全ユーザーへの補償を完了したとした。

GNO

要約

Gnosisは、6月1日に発生したGnosis Payのセキュリティ侵害により、攻撃者がZodiacのDelay ModuleおよびRoles Moduleの署名検証上の欠陥を悪用して出金承認を偽造し、約150万ドルが盗まれたと明らかにした。事後検証で同社は、根本的なソフトウェア上の欠陥が2023年10月以来存在していたと説明した。Gnosisによると、このバグはERC-1271の検証ロジックが、読み取り専用のスマートコントラクト呼び出しであるstaticcallの成功可否を確認していなかったことに起因し、この欠陥により無効な承認が有効として通過していた。影響を受けた全ユーザーには全額補償を実施し、サービスの99%超を復旧したという。この incident により、一時的に約30万ドルが利用不能にもなった。

用語解説
  • ERC-1271: 承認の有効性を検証するためのスマートコントラクト署名標準。
  • staticcall: 状態を変更できない、読み取り専用のスマートコントラクト呼び出し。
  • signature-verification: デジタル承認が有効かどうかを確認するプロセス。