Gnosis Pay เผยช่องโหว่การตรวจสอบลายเซ็น ERC1271 ในตรรกะยืนยันความถูกต้อง
สรุปภาพรวมตลาดด้วย AI
รายงานทบทวนหลังเหตุการณ์ของ Gnosis Pay ระบุรายละเอียดช่องโหว่ในการตรวจสอบความถูกต้องของลายเซ็น ERC1271 ในโมดูล Zodiac ซึ่งเอื้อให้เกิดการปลอมแปลงการอนุมัติและการถอนเงินโดยไม่ได้รับอนุญาต ผู้โจมตีดึงเงินออกไปราว 1.5 ล้านดอลลาร์สหรัฐจาก 5,281 วอลเล็ต รวมถึงประมาณ 641,000 ดอลลาร์สหรัฐใน GNO โดยมีอีกราว 300,000 ดอลลาร์สหรัฐติดค้างอยู่ในบัญชีที่ไม่สามารถเข้าถึงได้ แม้จะอุดช่องโหว่แล้วและตามมาด้วยการสร้างใหม่เป็น v2 พร้อมการตรวจสอบเพิ่มเติมที่ขยายขอบเขต แต่การเปิดเผยดังกล่าวอาจกดดันความเชื่อมั่นในระยะใกล้ต่อความปลอดภัยของสมาร์ตคอนแทรกต์ที่เชื่อมโยงกับ Gnosis
ระดับผลกระทบ
● ปานกลาง
ข้อมูลเชิงลึกจาก AIข้อมูลเชิงลึกจาก AI
▼ ขาลง
⚠️ ข้อความเชิงลึกนี้สร้างขึ้นโดย AI โดยอ้างอิงจากเนื้อหาข่าวเพื่อใช้เป็นข้อมูลอ้างอิงเท่านั้น ไม่ถือเป็นคำแนะนำในการลงทุนหรือสะท้อนทัศนะของ BingX การลงทุนมีความเสี่ยง โปรดซื้อขายด้วยความระมัดระวัง
ตามรายงานของ ME News เมื่อวันที่ 3 กรกฎาคม (UTC+8) Gnosis Pay เผยแพร่รายงานทบทวนเหตุการณ์ภายหลังเหตุโจมตีด้านความปลอดภัยเมื่อวันที่ 1 มิถุนายน โดยระบุว่าต้นตอของช่องโหว่มาจากตรรกะการตรวจสอบลายเซ็น ERC1271 ในโมดูล Zodiac ซึ่งระบบอ่านเพียงค่าที่สัญญา (contract) ส่งกลับ โดยไม่ได้ตรวจสอบว่าการเรียกใช้งาน (call) สำเร็จจริงหรือไม่
ผู้โจมตีอาศัยจุดอ่อนดังกล่าวด้วยการปรับใช้สัญญาที่ถูกออกแบบให้ล้มเหลว แต่ยังคงส่งค่าบ่งชี้ว่า "valid" ทำให้สามารถปลอมการอนุมัติและถอนเงินออกจากบัญชีที่ไม่ได้เป็นเจ้าของได้ ช่องโหว่นี้ถูกนำเข้ามาพร้อมโค้ด Zodiac เวอร์ชัน 3.4.0 ในเดือนตุลาคม 2023 และได้รับการอุดช่องโหว่เมื่อวันที่ 5 มิถุนายน
รายงานระบุว่า ผู้โจมตีถอนเงินรวมราว 1.5 ล้านดอลลาร์จากกระเป๋าเงิน 5,281 ใบ ประกอบด้วย GNO ราว 641,000 ดอลลาร์, EURe ราว 453,000 ดอลลาร์ และ USDC.e ราว 399,000 ดอลลาร์ นอกจากนี้ยังมีเงินอีกราว 300,000 ดอลลาร์ที่ยังถูกล็อกอยู่ในบัญชีที่ไม่สามารถเข้าถึงได้ โดยทีมงานกำลังพิจารณาทางเลือกในการกู้คืน
Gnosis Pay ระบุว่าจะขยายทีมความปลอดภัย ใช้บริการตรวจสอบจากผู้เชี่ยวชาญภายนอก ขยายขอบเขตการตรวจสอบสมาร์ตคอนแทรกต์ และได้ดำเนินการสร้างผลิตภัณฑ์ใหม่ทั้งหมด (v2) แล้ว เพื่อยกระดับขีดความสามารถในการรับมือเหตุด้านความปลอดภัย (ที่มา: Foresight News)
