Lumi Finance 遭到攻擊，損失約 27 萬美元

根據 ChainCatcher 報導，GoPlus 分析指出，Arbitrum 上的 Lumi Finance 於 7 月 13 日遭受攻擊，損失約 27 萬美元。

漏洞源於 Sodium 智能賬戶合約（ERC-4337）中的 validateUserOp 函數，在調用 _validateSignature 驗證簽名時存在邏輯缺陷——執行 isValidSignatureNow 時，signer 參數傳遞的是攻擊者地址，調用 ECDSA.tryRecover 出錯後未回退，反而調用攻擊合約中的 isValidSignature 函數並通過驗證。攻擊者利用該漏洞於 UserOperation 驗證期間執行 Token approve 操作，未經支付方允許即可從多個智能賬戶獲取 ERC20 代幣的批准權限。