この攻撃ではSodiumのスマートアカウント検証ロジックが悪用され、Lumiが主要ボールトを一時停止するなか、明示的な承認なしに複数のユーザーアカウントからトークンが引き出された。
GoPlusによると、アービトラム上のLumi Financeは7月13日に攻撃を受け、約27万ドルの損失が発生した。問題の中心は、ユーザー操作を処理するアカウント抽象化の重要なフローである、SodiumスマートアカウントコントラクトのERC-4337 validateUserOp関数にあった。GoPlusの説明では、この脆弱性は_validateSignatureがisValidSignatureNowを呼び出し、signerパラメーターに攻撃者のアドレスを渡した際に生じた。この設定により、ECDSA.tryRecoverがリバートせずに失敗した後、攻撃コントラクトのisValidSignatureチェックが通過し、意図された署名検証が実質的に回避された。報道によると、この不正流出によって、明示的な承認なしに複数のユーザー側アカウントからトークンが引き出された。Lumiは主要ボールトを一時停止した。一方、The Crypto Timesによると、中核的な流動性プールは攻撃対象ではなかった。