Zodiac опублікував звіт про інцидент безпеки: вразливість у перевірці ERC-1271 колись дозволила зловмиснику обійти модульну аутентифікацію

Глибокий прилив TechFlow повідомлення, 20 червня команда Zodiac опублікувала аналіз безпеки, що впливає на Zodiac Roles Modifier, розкривши, що вразливість виникла через недолік у логіці перевірки підпису транзакції ERC-1271: система базується лише на поверненому "магічному значенні" для визначення дійсності підпису, не перевіряючи, чи успішно викликано саму функцію, що може дозволити приховати невдалу перевірку як дійсний підпис і обійти механізм аутентифікації модуля.

Zodiac пояснив, що ця вразливість може бути використана лише за певних налаштувань, і учасники ролі EOA та інші розгортання, що не використовують відповідні модулі, не постраждали. Наразі повідомлено постраждалих користувачів і запущено інструменти для самостійної перевірки та виправлення, а також спільно з командою білих капелюхів проводиться робота з повернення активів, понад 99% потенційних ризикових коштів вже захищено, відповідні контракти завершили виправлення та пройшли незалежний аудит, послуга відновлена до норми.