アービトラム上のLumi Finance、ERC-4337の欠陥に関連する27万ドルの不正流出被害

この攻撃ではSodiumのスマートアカウント検証ロジックが悪用され、Lumiが主要ボールトを一時停止するなか、明示的な承認なしに複数のユーザーアカウントからトークンが引き出された。

ARB
FLOW
CORE

要約

GoPlusによると、アービトラム上のLumi Financeは7月13日に攻撃を受け、約27万ドルの損失が発生した。問題の中心は、ユーザー操作を処理するアカウント抽象化の重要なフローである、SodiumスマートアカウントコントラクトのERC-4337 validateUserOp関数にあった。GoPlusの説明では、この脆弱性は_validateSignatureがisValidSignatureNowを呼び出し、signerパラメーターに攻撃者のアドレスを渡した際に生じた。この設定により、ECDSA.tryRecoverがリバートせずに失敗した後、攻撃コントラクトのisValidSignatureチェックが通過し、意図された署名検証が実質的に回避された。報道によると、この不正流出によって、明示的な承認なしに複数のユーザー側アカウントからトークンが引き出された。Lumiは主要ボールトを一時停止した。一方、The Crypto Timesによると、中核的な流動性プールは攻撃対象ではなかった。

用語解説
  • ERC-4337: スマートアカウント向けのアカウント抽象化標準。
  • smart account: コントラクトロジックによって制御されるプログラム可能なウォレット。
  • ECDSA.tryRecover: 署名者を復元するために使用される関数。