PANews 7월 14일 소식, GoPlus 분석에 따르면 Arbitrum의 Lumi Finance가 7월 13일 공격을 받아 약 27만 달러의 손실을 입었습니다. 취약점은 Sodium 스마트 계정 컨트랙트(ERC-4337)의 validateUserOp 함수가 _validateSignature를 호출하여 서명을 검증할 때 논리적 결함이 있었기 때문입니다. isValidSignatureNow 실행 시 signer 매개변수로 공격자 주소가 전달되었고, ECDSA.tryRecover 호출에서 오류가 발생해도 revert하지 않고 대신 공격 컨트랙트의 isValidSignature 함수를 호출하여 검증을 통과했습니다. 공격자는 이 취약점을 악용하여 UserOperation 검증 중에 Token approve 작업을 실행, 지불자의 허가 없이 여러 스마트 계정에서 ERC20 토큰의 승인 권한을 획득했습니다.