Gnosis Pay analizza l'incidente di sicurezza: la vulnerabilità derivava da un difetto nella logica di verifica della firma, ora già corretta

Secondo quanto riportato da Foresight News, Gnosis Pay ha pubblicato il rapporto di revisione sull’incidente di sicurezza avvenuto il 1° giugno, rivelando che la vulnerabilità risiedeva nella logica di verifica della firma ERC-1271 del modulo Zodiac: il sistema leggeva solo il risultato restituito dal contratto senza verificare se la chiamata fosse stata effettivamente eseguita con successo. L’attaccante ha quindi distribuito un contratto che deliberatamente falliva ma restituiva comunque un’indicazione di “valido”, riuscendo così a falsificare autorizzazioni ed estrarre fondi da conti non propri. Tale vulnerabilità era stata introdotta nell’ottobre 2023 con la versione 3.4.0 del codice Zodiac ed è stata corretta il 5 giugno. Secondo il rapporto, l’attaccante ha sottratto in totale circa 1,5 milioni di dollari, coinvolgendo 5.281 wallet, tra cui circa 641.000 dollari in GNO, circa 453.000 dollari in EURe e circa 399.000 dollari in USDC.e; inoltre, circa 300.000 dollari risultano bloccati in conti non accessibili e il team sta esplorando possibili soluzioni di recupero. Gnosis Pay ha dichiarato che amplierà il team di sicurezza, introdurrà audit esterni, estenderà il perimetro di audit sugli smart contract e ha già completato la ricostruzione totale del prodotto (v2) per migliorare la capacità di risposta agli incidenti di sicurezza.