Gnosis Pay підсумував інцидент безпеки: уразливість була викликана дефектом логіки перевірки підпису, вже виправлено

Foresight News повідомляє, що Gnosis Pay опублікувала звіт про аналіз безпекового інциденту за 1 червня, в якому розкрила, що джерелом вразливості була помилка в логіці перевірки підпису ERC-1271 у модулі Zodiac: система лише зчитувала результат, повернений смарт-контрактом, не перевіряючи, чи був виклик успішно виконаний. Цим скористався атакуючий, розгорнувши контракт, який навмисно зазнає невдачі, але все одно повертає позначку "дійсно", підробляючи авторизацію для виведення коштів з чужих рахунків. Ця вразливість з’явилась у жовтні 2023 року з випуском Zodiac 3.4.0, і була усунена 5 червня. Згідно зі звітом, атакуючі вивели близько 1,5 мільйона доларів, що зачепило 5281 гаманець, зокрема близько 641 тисячі доларів у GNO, 453 тисячі доларів у EURe та 399 тисяч доларів у USDC.e; ще близько 300 тисяч доларів залишаються заблокованими на недоступних рахунках, команда працює над їх поверненням. Gnosis Pay зазначає, що надалі розширить команду безпеки, залучить зовнішній аудит, збільшить обсяг аудиту смарт-контрактів і вже завершила повне оновлення продукту (v2) для підвищення можливостей реагування на інциденти безпеки.