Сторонній модуль Gnosis Safe було експлуатовано в мережах Ethereum та Base, що призвело до виведення приблизно 3,2 мільйона доларів з 86 Safe-гаманців приблизно за дві години, повідомили безпекові компанії Blockaid та PeckShield.

Вразливий контракт, верифікований на Basescan під назвою "SquidRouterModule", не був розроблений, розгорнутий або керований крос-чейн протоколом Squid.

"Контракт під назвою SquidRouterModule не має відношення до Squid. Ми ще не знаємо, хто його написав чи розгорнув", – написав псевдонімний співзасновник Squid, Fig, у X. Його основний маршрутизатор був архітектурно відокремлений і не зачеплений, додала офіційна сторінка проєкту в X.

Експлойт спрацював через те, що модуль приймав наданий викликачем константний рядок як доказ безпеки повідомлення.

Передача цього рядка дозволила зловмиснику виконувати довільні calldata та витрачати будь-які токени, що зберігаються в Safe-гаманцях жертви, без підписів, згідно з Squid.

Зловмисник розгорнув експлойт-контракти на основі Foundry, які викликали шлях DelegateBundler модуля, видаючи себе за авторизованих делегатів у кожному Safe-гаманці та ініціюючи довільні обміни через пули Uniswap V3, написала Blockaid.

Цільові активи були обміняні через створені зловмисником пули Uniswap V3 на нічого не вартий токен під назвою "u", створений зловмисником. Потім зловмисник вивів ліквідність з пулів і об'єднав отримані кошти в приблизно 3,07 мільйона DAI, які зараз зберігаються у гаманці, що починається з "0xa447...54859", згідно з PeckShield.

Початкове фінансування експлойтера у розмірі 2,1 ETH надійшло з Tornado Cash, додала PeckShield.

Squid заявив, що ранні публічні повідомлення, що посилаються на "SquidRouter", були технічно неточними. Контракт носить ім'я Squid, але є стороннім продуктом, який вирішив інтегруватися зі Squid серед інших протоколів і не мав контакту з командою, написав проєкт.

DeFi зафіксував понад 770 мільйонів доларів збитків у 2026 році, при цьому лише квітень встановив рекорд приблизно 30 інцидентів та понад 630 мільйонів доларів, виведених коштів, показує інформаційна панель The Block.

Розгорнути діаграму

Squid залучає $6 мільйонів

Squid нещодавно оголосив, що залучив 6 мільйонів доларів у стратегічному раунді фінансування, очолюваному North Island Ventures, за участю Ripple, Dialectic та Borderless.

Крос-чейн сумісність довгий час була однією з найскладніших областей у криптоіндустрії, при цьому сектор протягом багатьох років стикався з численними експлойтами мостів та інцидентами безпеки. Fig зі Squid розповів The Block минулого тижня, що проєкт на сьогодні завершив дев'ять незалежних аудитів безпеки, не зафіксував жодних експлойтів і підтримував 99,99% часу безвідмовної роботи.

На запитання, чи Squid розглядає можливість обслуговування проєктів, які переоцінюють свою крос-чейн інфраструктуру після проблем в інших частинах ринку, Fig відповів, що платформа відкрита для розмов з командами, що шукають безпечне з'єднання.