Gnosis Pay Rückblick auf den Sicherheitsvorfall: Die Schwachstelle entstand durch einen Fehler in der Logik der Signaturüberprüfung und wurde inzwischen behoben.

Foresight News berichtet, dass Gnosis Pay am 1. Juni einen Bericht zur Analyse des Sicherheitsvorfalls veröffentlicht hat. Dabei wurde offengelegt, dass die Ursache der Schwachstelle in einem Fehler der Signaturprüfungslogik des Zodiac-Moduls gemäß ERC-1271 lag: Das System las nur das vom Smart Contract zurückgegebene Ergebnis aus, prüfte jedoch nicht, ob der Aufruf tatsächlich erfolgreich ausgeführt wurde. Ein Angreifer konnte daher einen absichtlich fehlgeschlagenen, aber dennoch „gültig“ zurückmeldenden Smart Contract einsetzen, um eine Autorisierung zu fälschen und Gelder von Konten abzuheben, die ihm nicht gehörten. Diese Schwachstelle wurde mit Version 3.4.0 des Zodiac Codes im Oktober 2023 eingeführt und am 5. Juni behoben. Laut Bericht entwendete der Angreifer insgesamt rund 1,5 Millionen US-Dollar von 5.281 Wallets, darunter etwa 641.000 US-Dollar in GNO, etwa 453.000 US-Dollar in EURe und etwa 399.000 US-Dollar in USDC.e. Weitere ca. 300.000 US-Dollar sind in nicht zugänglichen Konten eingefroren; das Team arbeitet an einer Lösung zur Wiederherstellung dieser Mittel. Gnosis Pay gab an, das Sicherheitsteam ausbauen, externe Audits einführen und den Audit-Bereich für Smart Contracts erweitern zu wollen. Zudem wurde das Produkt komplett (v2) neu aufgebaut, um die Sicherheitsreaktionsfähigkeit zu verbessern.