PANews 7月14日消息，據GoPlus分析，Arbitrum上的Lumi Finance於7月13日遭攻擊，損失約27萬美元。漏洞源於Sodium智能帳戶合約（ERC-4337）中的validateUserOp函數在調用_validateSignature驗證簽名時存在邏輯缺陷——執行isValidSignatureNow時，signer參數傳遞的是攻擊者地址，調用ECDSA.tryRecover出錯後未revert，轉而調用攻擊合約中的isValidSignature函數並通過驗證。攻擊者利用該漏洞在UserOperation驗證期間執行Token approve操作，未經支付方允許即從多個智能帳戶中獲取ERC20代幣的批准權限。