Arbitrum 上 DeFi 项目 Lumi Finance 于7月13日遭受攻击，损失约27万美元
Arbitrum 上 DeFi 项目 Lumi Finance 于7月13日遭受攻击，损失约27万美元。
攻击利用 Sodium 智能账户合约 ERC-4337 中 validateUserOp 函数的 validateUserOp 逻辑缺陷，在调用 _validateSignature 时 signer 参数被设为攻击者地址，ECDSA.tryRecover 出错未 revert，转而调用攻击合约 isValidSignature 通过验证。
市场机制上，ERC-4337 账户抽象漏洞暴露智能合约审计盲区，协议流动性提供者与用户资金承压，攻击者获利后资金快速转移，而类似项目短期面临信任危机，资金流向审计严格或已修复的 DeFi 协议。
来源：公开信息
ABAB AI 解读
Lumi Finance 作为 Arbitrum 上 DeFi 项目采用 Sodium 智能账户实现 ERC-4337，此次攻击暴露账户抽象实现中的签名验证风险，曾有类似 ERC-4337 相关漏洞导致资金损失案例。
资本路径上，攻击者通过操纵签名验证绕过检查提取资金，战略上利用合约逻辑未 revert 的边缘情况，凸显复杂账户抽象实现的安全代价。
类似以往多个 DeFi 项目因签名或验证缺陷被利用的案例，当前 ERC-4337 采用初期处于安全事件高发阶段，此漏洞推动协议方加强审计与 formal verification。
本质属于技术替代中的风险转移，ERC-4337 简化用户体验却引入新攻击向量，机制上资本向具备完善安全机制的账户抽象实现集中，迫使 DeFi 项目在便利性与安全性间寻求平衡。
ABAB News · 认知定律
签名验证未 revert，便是资金流出的大门
账户抽象越复杂，审计盲区就越大
DeFi 安全不是特性，而是生存前提