Fireblocks：智能合約錢包UniPass中發現ERC-4337帳戶抽象漏洞

金色財經報道，Fireblocks研究團隊最近在智能合約錢包UniPass中發現了一個ERC-4337帳戶抽象漏洞。該漏洞允許攻擊者對UniPass錢包進行完全帳戶接管，通過替換錢包的可信入口點來激活帳戶抽象模塊。一旦帳戶接管完成，攻擊者就可以將錢包視為自己的錢包并耗盡其中的所有資金。錢包中激活了ERC-4337模塊的數百名用戶很容易受到這種攻擊，區塊鏈上的任何人都可以執行這種攻擊。

該漏洞由3個不同的問題組成，這些問題無法單獨利用，但組合起來后，可被利用以獲得對錢包的所有者級訪問權限。

1. 第一個問題是validateSignature 函數對于空簽名返回“success=true”：

2. 第二個問題與計算調用合約本身的特權函數需要多少角色權重有關。

3. 第三個問題實際上并不是智能合約代碼的問題；這是模塊安裝時的問題。當使用錢包的接口啟用ERC-4337模塊時，鏈上會調用addHook 4次來添加其功能。

在確認收到初始披露后的24小時內，UniPass團隊立即成功執行了白帽操作，修補了所有易受攻擊的錢包，并添加了缺失的“addPermission”調用，以便將來啟用ERC-4337模塊。

其它快訊：

香港數字資產托管機構First Digital Trust完成215萬美元融資:4月23日消息，總部位于香港的數字資產托管機構First Digital Trust獲得215萬融資，將加密貨幣資產支付服務和升級帶到亞太地區。該輪融資由亞洲風險投資公司Nogle等投資者領投。根據Crunchbase數據，該公司此前已完成兩輪融資，其總融資金額現在已超過520萬美元。該公司表示，這筆資金將用于發展首個借記卡和信用卡渠道，以允許數字資產客戶無縫地使用銀行卡支付。公司將接受100多種貨幣的數字資產支付，并借助小程序提供即時結算、托管和合規服務。（Cointelegraph）[2021/4/23 20:51:54]

Fireblock將支持數字銀行Revolut的新加密貨幣服務:金色財經報道，英國金融科技銀行Revolut已與數字資產交易和存儲平臺Fireblocks合作，為該數字銀行的新加密貨幣服務提供安全的支付基礎設施。[2020/10/9]

動態 | 網傳Firedcat或將回歸區塊鏈領域:今日在微信朋友圈流傳一條關于Firedcat（烤貓）回歸區塊鏈行業的消息，該消息來源于一張Mixin COO發朋友圈截圖，在截圖中顯示，Mixin COO稱，區塊鏈離互聯網價值自由流轉長征之路還有多遠？同時，還透露Firedcat（烤貓）已“歸隊”區塊鏈。

據了解，Firedcat（烤貓）是比特幣界“元老”，曾在2012年研發出礦機，開始了“算力中心化”，終結了家用電腦也能挖礦掙比特幣的日子。關于Firedcat（烤貓）回歸區塊鏈行業的信息，金色財經正在進一步確認。[2018/12/15]