Gnosis Pay identifică o vulnerabilitate în logica de validare a semnăturilor ERC1271
Rezumat al pieței generat de AI
Analiza post-incident a Gnosis Pay detaliază un defect de validare a semnăturilor ERC1271 în modulul Zodiac, care a permis autorizări falsificate și retrageri neautorizate. Atacatorii au extras aproximativ 1,5 mil. USD din 5.281 de portofele, inclusiv ~641.000 USD în GNO, cu încă ~300.000 USD blocați în conturi inaccesibile. Deși problema a fost remediată și a fost urmată de o reconstrucție v2 plus audituri extinse, divulgarea ar putea afecta încrederea pe termen scurt în securitatea contractelor inteligente asociate cu Gnosis.
Nivelul impactului
● Mediu
Perspectivă AIPerspectivă AI
▼ Bearish
⚠️ Perspectivele generate de AI se bazează pe conținutul știrilor și sunt furnizate exclusiv în scop informativ. Nu constituie consiliere de investiții și nu reprezintă opiniile BingX. Investițiile implică risc. Tranzacționează responsabil.
Potrivit ME News, pe 3 iulie (UTC+8), Gnosis Pay a publicat raportul post-incident privind evenimentul de securitate din 1 iunie. Compania arată că problema a pornit de la un defect în logica de verificare a semnăturilor ERC1271 din modulul Zodiac: sistemul citea doar valoarea returnată de contract, fără să confirme că apelul s-a executat cu succes. Atacatorii au profitat de acest comportament prin implementarea unui contract care eșuează intenționat, dar returnează totuși un indicator "valid", ceea ce le-a permis să falsifice autorizări și să retragă fonduri din conturi pe care nu le dețineau.
Vulnerabilitatea a fost introdusă odată cu versiunea de cod Zodiac 3.4.0, în octombrie 2023, și a fost remediată pe 5 iunie. Conform raportului, atacatorii au retras aproximativ 1,5 milioane USD din 5.281 de portofele, incluzând circa 641.000 USD în GNO, 453.000 USD în EURe și 399.000 USD în USDC.e. Încă 300.000 USD rămân blocați în conturi inaccesibile, iar echipa analizează opțiuni de recuperare.
Gnosis Pay anunță extinderea echipei de securitate, implicarea unor auditori externi și lărgirea ariei de audit pentru contractele inteligente. Compania precizează că a finalizat deja o reconstrucție completă a produsului (v2), pentru a-și îmbunătăți capacitatea de răspuns la incidente. (Sursa: Foresight News)
