Розслідування порушення безпеки в мережі Squid 🚨
Офіційні повідомлення про інцидент безпеки в мережі Squid були опубліковані експертами Blockaid.
Виявлено експлуатацію контракту SquidRouterModule, який підвергся порушенню на суму близько 3 мільйонів доларів США протягом близько двох годин.
В результаті експлуатації були виманені 86 кошельків на суму близько 3 мільйонів доларів США, після чого отримані кошти були обміняні на DAI через контролований атакувальником пулі Uniswap V3.
Детальніше про інцидент можна дізнатися в спеціальному повідомленні Blockaid 🧵.
За даними Blockaid, атака була спрямована проти 86 кошельків в мережах Ethereum та Base.
За інформацією PeckShieldAlert, злоумисник фінансував своє адрес через Tornado Cash на суму 2,1 Ethereum, а отримані кошти були обміняні на 3 мільйони DAI.
Що відбулося 🤔
За повідомленням Squid, хакери підірвали зовнішній модуль Gnosis Safe.
Уязвимий контракт був зареєстрований на Basescan як SquidRouterModule, але він не належить до основного проекту.
Це зовнішній продукт у вигляді смарт-кошелька, який вирішив інтегрувати свої можливості з можливостями Squid.
Що відбувається далі? 💡
За повідомленням Squid, атака була спрямована проти стороннього модулю Gnosis Safe.
Уязвимість була викликана тим, що зовнішній модуль приймав фіксовану строку як підтвердження безпеки повідомлення.
Якщо така строка була надана, то можна виконувати масив произвольних даних виклику і виманювати кошти.
Що робить Squid? 🙅♂️
Сquid повідомляє, що користувачі Safes додали уязвимий контракт як довірений модуль.
В результаті він отримав право витрачати будь-які токени без підпису.
Заміталося, що власний маршрутизатор Squid має іншу архітектуру і не був зачіплений.
Що далі? 🚀
Сquid повідомляє, що інвестиції у проект склали близько 6 мільйонів доларів США.
Проект представляє собою кроссчейн-інфраструктурну платформу, яка була розроблена в рамках екосистеми Axelar.
Вони планують отримувати доход від корпоративних послуг і введення комісії за транзакції.
За матеріалами ForkLog