So entwendeten Angreifer 3,2 Mio. USD aus Safe-Wallets auf Ethereum und Base

Eine Schwachstelle in einem Drittanbieter-Modul für Safe-Wallets führte zum Diebstahl von etwa 3,2 Millionen USD auf Ethereum und Base, nachdem Angreifer delegierte Ausführungsrechte ausnutzten, um innerhalb von rund zwei Stunden dutzende Smart-Accounts zu leeren.

Die Blockchain-Sicherheitsfirma Blockaid teilte mit, dass der Exploit einen Vertrag mit der Bezeichnung SquidRouterModule ins Visier nahm und mindestens 86 Gnosis Safe-Wallets betraf, bevor die gestohlenen Vermögenswerte über von den Angreifern kontrollierte Uniswap-V3-Pools in Dai umgewandelt wurden.

Von der Firma geteilte Daten zeigten, dass der Angreifer die Erlöse anschließend in einer Wallet konsolidierte, die etwa 3,07 Millionen DAI hält.

Von Blockaid verlinkte On-Chain-Daten identifizierten die exploiter-Adresse als 0x9bdc730183821b6bb2b51be30b77c964fa645b91. 

Etherscan-Daten, die Lookonchain zitierte, zeigten, dass die Adresse über Tornado Cash finanziert worden war und am 25. Mai 52 Transaktionen verzeichnete.

Die gleiche Untersuchung verfolgte außerdem ein Beispiel für eine Drain-Transaktion, ausgeführt um 06:25 UTC, bei der gestohlene Vermögenswerte, darunter USDC, ENA und USDT, vor der Umwandlung durch Uniswap-V3-Liquiditätspools geleitet wurden.

Wie wurde der Exploit ausgeführt?

Frühe Erkenntnisse von Blockaid deuten darauf hin, dass der Exploit aus einer Schwachstelle in der Funktion executeSameChainActions() des Drittanbieter-Moduls stammte und nicht aus der Kerninfrastruktur von Safe. 

Laut der Firma setzten die Angreifer Foundry-basierte Exploit-Verträge ein, die den DelegateBundler-Ausführungspfad des Moduls missbrauchten, um autorisierte Delegierte, die mit den Opfer-Wallets verbunden sind, zu imitieren.

Nachdem die Verifizierungsprüfungen umgangen wurden, konnte der Angreifer beliebige Swaps direkt aus den betroffenen Safes auslösen, ohne die üblichen Multisignatur-Freigaben zu benötigen, die das Wallet-System verlangt. 

Blockaid erklärte, der Exploit habe es dem Angreifer ermöglicht, legitime Vermögenswerte gegen ein wertloses, vom Angreifer erzeugtes Token mit der Bezeichnung „u“ zu tauschen, bevor die Liquidität entfernt und die Erlöse in DAI umgewandelt wurden.

Delegierten-Imitation beim Modul-Exploit vermutet

Weitere technische Analysen, geteilt vom SlowMist-Gründer Cos, deuteten darauf hin, dass das Problem nicht mit kompromittierten privaten Schlüsseln zusammenhing. 

In einem übersetzten Beitrag auf X sagte Cos, die untersuchten Opfer-Wallets seien größtenteils als Single-Signature-Safes konfiguriert und von verschiedenen Nutzern besessen, während die eigentliche Schwachstelle offenbar von verwundbaren Wallet-Modulen ausging, die an diese Konten angehängt waren.

Laut Cos konnten Angreifer Nachrichten fälschen und Modul-Verifizierungsprüfungen umgehen, was unautorisierte Einlösungs- und Transferoperationen aus den gezielten Safe-Wallets ermöglichte. 

Der Forscher verwies außerdem auf dieselbe Konsolidierungs-Wallet, die von Blockaid identifiziert wurde, in der die gestohlenen Mittel offenbar zusammengeführt wurden.

Wallet des Angreifers mit DAI. Quelle: Etherscan.

Der Exploit basierte im Wesentlichen auf der Funktionsweise von Safe-Modulen innerhalb von Smart-Contract-Wallets. 

Im Gegensatz zu Standard-Safe-Transaktionen, die mehrere Besitzerfreigaben erfordern, können Module Aktionen direkt ausführen, sobald Nutzer ihnen vertrauenswürdige Berechtigungen erteilen. 

Die Schwachstelle im SquidRouterModule schien auf einer fehlerhaften Identitätsprüfung zu beruhen, die angeblich bösartige Payloads als genehmigte Delegierte tarnen ließ.

Da das Modul bereits weitreichende Ausführungsberechtigungen in den verbundenen Wallets besaß, wurden die gefälschten Anfragen Berichten zufolge von den Safe-Verträgen selbst als legitime Anweisungen behandelt.

Betroffene Wallets offenbar nicht über Safe betrieben

Der CEO von Safe Labs, Rahul Rumalla, sagte später, die kompromittierten Konten „scheinen nicht mit dem offiziellen Safe-Wallet-Produkt betrieben zu werden“, und fügte hinzu, dass die Ermittler noch nicht wissen, wo die Wallets ursprünglich erstellt und verwaltet wurden.

Rumalla erklärte, dass die betroffenen Wallets wahrscheinlich über externe Integrationen bereitgestellt wurden und nicht über die offizielle Oberfläche von Safe.

Rumalla sagte außerdem, Safe Shield, das eingebaute Warnsystem des Unternehmens, das von Blockaid unterstützt wird, habe das Modul bereits vor dem Vorfall als bösartig identifiziert.

Seiner Aussage nach warnt das Schutzsystem Nutzer, wenn unverifizierte Module oder Guards gefährliche Berechtigungen anfordern.

Squid bestreitet Beteiligung

Unterdessen bestritt Squid, dass seine eigene Routing-Infrastruktur oder Kernverträge kompromittiert worden seien. 

In einer auf X veröffentlichten Stellungnahme sagte das Team, der ausgenutzte Vertrag teile lediglich den Namen SquidRouterModule und habe keine Verbindung zur Produktions-Router-Architektur von Squid.

Das Protokoll fügte hinzu, dass alle Squid-Nutzer und -Integratoren nicht betroffen seien, und beschrieb den Vorfall als Exploit eines Drittanbieter-Smart-Wallet-Moduls, der nicht mit Squids offiziellen Verträgen oder Diensten zusammenhängt.

Der Angriff fügte einer wachsenden Liste von DeFi-Sicherheitsvorfällen im Jahr 2026 einen weiteren Vorfall hinzu. 

Wie zuvor von Invezz berichtet, erlitt Echo Protocol letzte Woche einen Exploit auf Monad, nachdem Angreifer rund 76,7 Millionen USD an nicht autorisierten eBTC-Token geprägt hatten, was Forscher später mit einer Kompromittierung eines Admin-Schlüssels in Verbindung brachten. 

Die Ermittler in diesem Fall sagten ebenfalls, die Blockchain selbst sei nicht verletzt worden, während schwache operative Kontrollen im Zusammenhang mit delegierten Berechtigungen und Mint-Authority dem Exploit die Eskalation ermöglichten.