OpenZeppelin 發現 ONCHAINID 智慧帳戶存在嚴重漏洞

OpenZeppelin 對 ONCHAINID 進行的安全性稽核，在 T-REX Network 的鏈上身分系統中發現 39 個問題，包括 1 個重大、2 個高嚴重性及 9 個中嚴重性問題。稽核涵蓋於 2026 年 7 月 27 日至 8 月 7 日期間審查的 Solidity 合約。 最嚴重的漏洞讓 ACTION 層級金鑰能夠利用 ERC-7579 驗證器與智慧帳戶之間 calldata 解碼不一致的問題。攻擊者可能藉此將 MANAGEMENT 權限授予自己、安裝或移除模組，以及執行具特權的 self-call。其他問題影響錢包綁定、佇列中的核准、金鑰登錄、claim 授權、復原模組、跨鏈連結及升級控制。 OpenZeppelin 表示，39 個問題中已有 36 個獲得解決，包括重大問題及兩個高嚴重性問題。另外 7 項備註也已處理。修正內容已合併至 commit 4fda205，但稽核的安全性模型適用於較早的 commit d2096509。 ONCHAINID 為 T-REX 與 ERC-3643 的許可型代幣生態系統提供身分合約。這些身分儲存密碼學金鑰與已驗證的 claims，用於判斷錢包是否能持有受監管的數位資產。報告強調，安全性也取決於模組設定、AccessManager 政策及具特權的管理角色。交易者在將稽核視為完全解決之前，應持續監控修復品質、部署升級及任何受影響的 ERC-3643 專案。