Gnosis Pay usuwa lukę w walidacji podpisów ERC1271 i publikuje raport po incydencie
Podsumowanie rynku AI
Gnosis Pay ujawniło exploit z 1 czerwca powiązany z wadliwą walidacją podpisów ERC1271 w module Zodiac, umożliwiający nieautoryzowane wypłaty przez kontrakty, które wykonywały revert, ale wciąż zwracały wskaźnik "valid". Około 1,5 mln USD zostało wyprowadzone z 5 281 portfeli (w tym ~641 tys. USD w GNO), a dodatkowe ~300 tys. USD utknęło. Choć luka została załatana 5 czerwca, incydent podnosi postrzeganie ryzyka smart kontraktów i może wywierać presję na aktywa powiązane z Gnosis oraz na nastroje dotyczące bezpieczeństwa DeFi.
Wpływ
● Średni
Analiza AIAnaliza AI
▼ Spadkowy
⚠️ Analizy generowane przez AI opierają się na treściach z wiadomości i mają charakter informacyjny. Nie stanowią porady inwestycyjnej ani nie odzwierciedlają poglądów BingX. Inwestowanie wiąże się z ryzykiem. Handluj odpowiedzialnie.
Gnosis Pay opublikował raport po incydencie z 1 czerwca, ujawniając podatność w logice weryfikacji podpisu ERC1271 w module Zodiac. Mechanizm sprawdzał wyłącznie wartość zwracaną przez kontrakt, bez potwierdzenia, czy wywołanie zostało faktycznie wykonane poprawnie. Napastnicy wykorzystali to, wdrażając kontrakt, który celowo kończył się niepowodzeniem, a mimo to zwracał wskaźnik "valid", co pozwalało fałszywie autoryzować wypłaty środków z kont, których nie byli właścicielami.
Według firmy podatność wprowadzono w październiku 2023 r. wraz z wersją kodu Zodiac 3.4.0, a poprawkę wdrożono 5 czerwca. Z raportu wynika, że atakujący wypłacili łącznie ok. 1,5 mln USD z 5 281 portfeli, w tym ok. 641 tys. USD w GNO, 453 tys. USD w EURe oraz 399 tys. USD w USDC.e. Dodatkowe ok. 300 tys. USD pozostaje zablokowane na niedostępnych kontach; zespół analizuje możliwości odzyskania środków.
Gnosis Pay zapowiedział rozbudowę zespołu ds. bezpieczeństwa, zaangażowanie zewnętrznych audytorów oraz rozszerzenie zakresu audytów smart kontraktów.
