据 GoPlus 监测，Arbitrum 上的 Lumi Finance 于 7 月 13 日遭攻击，损失约 27 万美元。漏洞源于 Sodium 智能账户合约 ERC-4337 中的 validateUserOp 函数在调用_validateSignature 验证签名时存在逻辑缺陷，执行 isValidSignatureNow 时，signer 参数传递为攻击者地址，调用 ECDSA.tryRecover 出错后未 revert，转而调用攻击合约中的 isValidSignature 函数并通过验证。