Fireblocks：智能合约钱包UniPass中发现ERC-4337帐户抽象漏洞

金色财经报道，Fireblocks研究团队最近在智能合约钱包UniPass中发现了一个ERC-4337帐户抽象漏洞。该漏洞允许攻击者对UniPass钱包进行完全帐户接管，通过替换钱包的可信入口点来激活帐户抽象模块。一旦帐户接管完成，攻击者就可以将钱包视为自己的钱包并耗尽其中的所有资金。钱包中激活了ERC-4337模块的数百名用户很容易受到这种攻击，区块链上的任何人都可以执行这种攻击。

该漏洞由3个不同的问题组成，这些问题无法单独利用，但组合起来后，可被利用以获得对钱包的所有者级访问权限。

1. 第一个问题是validateSignature 函数对于空签名返回“success=true”：

2. 第二个问题与计算调用合约本身的特权函数需要多少角色权重有关。

3. 第三个问题实际上并不是智能合约代码的问题；这是模块安装时的问题。当使用钱包的接口启用ERC-4337模块时，链上会调用addHook 4次来添加其功能。

在确认收到初始披露后的24小时内，UniPass团队立即成功执行了白帽操作，修补了所有易受攻击的钱包，并添加了缺失的“addPermission”调用，以便将来启用ERC-4337模块。

其它快讯：

Fireblocks：16家钱包提供商和开源库受到BitForge漏洞影响:金色财经报道，Fireblocks 密码学研究团队发现，16家钱包提供商和开源库受到了BitForge漏洞的影响，该公司表示，所披露的漏洞“有效地将 MPC 系统提供的保护降级为传统的单密钥系统的保护”，BitForge仅影响使用GG-18、GG-20和Lindell17协议的MPC钱包提供商，该漏洞为攻击者创建了一个后门，以便在签名失败时暴露部分私钥。Fireblocks 建议所有实施这些协议的提供商包含所需的零知识证明以增强安全性。

该公司将 BitForge 归类为“零日”漏洞，这意味着受影响软件的开发人员在 Fireblocks 披露之前并未发现这些漏洞。据悉，Fireblocks 确定了16家受影响的提供商和开源库，但没有公开点名这些公司，而是强调行业合作并提供修复机会。[2023/8/10 16:16:40]

CFTC任命Circle、TRM、Fireblocks等公司的高管加入新技术咨询小组:金色财经报道，商品期货交易委员会(CFTC)宣布前白宫官员Carole House担任新主席，区块链分析公司TRM Labs的Ari Redboard担任其技术咨询委员会副主席。CFTC周一向委员会公布了一份成员名单，宣布该委员会已经新成立，并由去年3月上任的委员Christy Goldsmith Romero赞助。技术咨询委员会之前由前CFTC专员Brian Quintenz赞助，他现在是风险投资公司Andreessen Horowitz的政策主管。

根据新闻稿，该委员会将于3月22日举行第一次会议，届时将“考虑更新网络安全小组委员会，创建一个新的数字资产和区块链技术小组委员会，合并和扩大之前的两个TAC小组委员会，并建立新的新兴技术小组委员会”。（CoinDesk）[2023/3/14 13:02:03]

Fireblocks启动机构网络转移资产:由富达支持的机构数字资产安全平台Fireblocks于6月2日启动了其资产转移网络，开放网络使机构能够安全地找到并与同行建立联系，在简化结算和交易后操作的同时在链上转移资产。（Cointelegraph）[2020/6/2]

相关资讯