PANews 7月14日消息，据GoPlus分析，Arbitrum上的Lumi Finance于7月13日遭攻击，损失约27万美元。漏洞源于Sodium智能账户合约（ERC-4337）中的validateUserOp函数在调用_validateSignature验证签名时存在逻辑缺陷——执行isValidSignatureNow时，signer参数传递的是攻击者地址，调用ECDSA.tryRecover出错后未revert，转而调用攻击合约中的isValidSignature函数并通过验证。攻击者利用该漏洞在UserOperation验证期间执行Token approve操作，未经支付方允许即从多个智能账户中获取ERC20代币的批准权限。