Πώς οι επιτιθέμενοι άδειασαν $3.2M από πορτοφόλια Safe σε Ethereum και Base

Μια ευπάθεια συνδεόμενη με ένα τρίτο-μέρος module του Safe οδήγησε στην κλοπή περίπου $3.2M σε Ethereum και Base, αφού οι δράστες εκμεταλλεύτηκαν εξουσιοδοτημένες άδειες εκτέλεσης για να αδειάσουν δεκάδες έξυπνους λογαριασμούς εντός περίπου δύο ωρών.

Η εταιρεία ασφάλειας blockchain Blockaid ανέφερε ότι το exploit στόχευσε ένα συμβόλαιο με την ονομασία SquidRouterModule, επηρεάζοντας τουλάχιστον 86 Gnosis Safe πορτοφόλια, πριν τα κλαπέντα περιουσιακά στοιχεία μετατραπούν σε Dai μέσω πισινών Uniswap V3 ελεγχόμενων από τους δράστες.

Δεδομένα που κοινοποίησε η εταιρεία έδειξαν ότι ο δράστης στη συνέχεια συγκέντρωσε τα έσοδα σε ένα πορτοφόλι που κρατούσε περίπου 3.07 million DAI.

Τα on-chain αρχεία που συνέδεσε η Blockaid εντόπισαν τη διεύθυνση του εκμεταλλευτή ως 0x9bdc730183821b6bb2b51be30b77c964fa645b91. 

Δεδομένα Etherscan που επικαλέστηκε το Lookonchain έδειξαν ότι η διεύθυνση είχε χρηματοδοτηθεί μέσω Tornado Cash και κατέγραψε 52 συναλλαγές στις 25 Μαΐου.

Η ίδια έρευνα εντόπισε ως παράδειγμα μια συναλλαγή εκκένωσης που εκτελέστηκε στις 06:25 UTC, όπου τα κλαπέντα περιουσιακά στοιχεία, συμπεριλαμβανομένων USDC, ENA και USDT, δρομολογήθηκαν μέσω των πισινών ρευστότητας Uniswap V3 πριν τη μετατροπή.

Πώς εκτελέστηκε το exploit;

Τα πρώτα ευρήματα της Blockaid υποδείκνυαν ότι το exploit προέκυψε από σφάλμα μέσα στη λειτουργία executeSameChainActions() του τρίτου-μέρος module και όχι από τον πυρήνα της υποδομής του Safe. 

Σύμφωνα με την εταιρεία, ο δράστης ανέπτυξε συμβόλαια exploit βασισμένα σε Foundry που κακοποίησαν τη διαδρομή εκτέλεσης DelegateBundler του module για να προσποιηθούν εξουσιοδοτημένους αντιπροσώπους συνδεδεμένους με τα θύματα.

Μόλις παρακαμφθούν οι έλεγχοι επαλήθευσης, ο δράστης μπορούσε να ενεργοποιήσει αυθαίρετες ανταλλαγές απευθείας από τα επηρεαζόμενα Safes χωρίς τις κανονικές πολλαπλές υπογραφές που απαιτεί το σύστημα πορτοφολιού. 

Η Blockaid είπε ότι το exploit επέτρεψε στον δράστη να ανταλλάξει νόμιμα περιουσιακά στοιχεία με ένα άχρηστο token που δημιούργησε ο δράστης και αναγνωρίστηκε ως «u», πριν αφαιρεθεί η ρευστότητα και τα έσοδα μετατραπούν σε DAI.

Υποψία προσποίησης αντιπροσώπου στο module exploit

Περαιτέρω τεχνική ανάλυση που κοινοποίησε ο ιδρυτής της SlowMist, Cos, υποδείκνυε ότι το πρόβλημα δεν συνδεόταν με εκτεθειμένα ιδιωτικά κλειδιά. 

Σε μια μεταφρασμένη δημοσίευση στο X, ο Cos είπε ότι τα δείγματα των θυμάτων ήταν κυρίως Safes ρυθμισμένα ως single-signature ιδιοκτησίας διαφορετικών χρηστών, ενώ η πραγματική αδυναμία φαινόταν να προέρχεται από ευάλωτα modules πορτοφολιών προσκολλημένα σε αυτούς τους λογαριασμούς.

Σύμφωνα με τον Cos, οι δράστες ήταν σε θέση να παραχάραξουν μηνύματα και να παρακάμψουν τους ελέγχους επαλήθευσης του module, επιτρέποντας μη εξουσιοδοτημένες λειτουργίες εξαργύρωσης και μεταφοράς από τα στοχευμένα Safe πορτοφόλια. 

Ο ερευνητής επίσης υπέδειξε το ίδιο πορτοφόλι συγκέντρωσης που ταυτοποίησε η Blockaid, όπου φέρονται να διακανονίστηκαν τα κλαπέντα κεφάλαια.

Πορτοφόλι του δράστη που κρατά DAI. Πηγή: Etherscan.

Το exploit στηρίχθηκε ουσιαστικά στον τρόπο λειτουργίας των modules του Safe μέσα σε smart contract πορτοφόλια. 

Σε αντίθεση με τις τυπικές Safe συναλλαγές που απαιτούν πολλαπλές εγκρίσεις ιδιοκτητών, τα modules μπορούν να εκτελέσουν ενέργειες απευθείας μόλις οι χρήστες τους παραχωρήσουν έμπιστες άδειες. 

Το σφάλμα μέσα στο SquidRouterModule φαίνεται ότι προέκυπτε από εσφαλμένο έλεγχο ταυτότητας, που φέρεται να επέτρεψε σε κακόβουλα φορτία να εμφανιστούν ως εγκεκριμένοι αντιπρόσωποι.

Επειδή το module ήδη διέθετε ευρείες άδειες εκτέλεσης μέσα στα συνδεδεμένα πορτοφόλια, τα παραποιημένα αιτήματα φέρονται να αντιμετωπίστηκαν ως νόμιμες εντολές από τα ίδια τα Safe συμβόλαια.

Επηρεαζόμενα πορτοφόλια μη συνδεδεμένα με το Safe

Ο CEO της Safe Labs, Rahul Rumalla, δήλωσε αργότερα ότι οι παραβιασμένοι λογαριασμοί «φαίνεται να μην λειτουργούν πάνω στο επίσημο προϊόν Safe Wallet», προσθέτοντας ότι οι ερευνητές δεν γνωρίζουν ακόμη πού δημιουργήθηκαν και διαχειρίστηκαν αρχικά τα πορτοφόλια.

Ο Rumalla ανέφερε ότι τα επηρεαζόμενα πορτοφόλια πιθανότατα αναπτύχθηκαν μέσω εξωτερικών ενσωματώσεων παρά μέσω της επίσημης διεπαφής του Safe.

Ο Rumalla πρόσθεσε επίσης ότι το Safe Shield, το ενσωματωμένο σύστημα προειδοποίησης της εταιρείας που τροφοδοτείται από την Blockaid, είχε ήδη εντοπίσει το module ως κακόβουλο πριν το περιστατικό.

Κατά την άποψή του, το σύστημα προστασίας ειδοποιεί τους χρήστες όταν μη επαληθευμένα modules ή guards ζητούν επικίνδυνες άδειες.

Η Squid αρνείται εμπλοκή

Στο μεταξύ, η Squid αρνήθηκε ότι η δική της υποδομή δρομολόγησης ή τα κύρια συμβόλαιά της είχαν υποστεί παραβίαση. 

Σε δήλωση που δημοσιεύτηκε στο X, η ομάδα είπε ότι το εκμεταλλευμένο συμβόλαιο απλά μοιραζόταν το όνομα SquidRouterModule και δεν είχε σχέση με την παραγωγική αρχιτεκτονική router της Squid.

Το πρωτόκολλο πρόσθεσε ότι όλοι οι χρήστες και οι ενσωματωτές της Squid παρέμειναν ανεπηρέαστοι, περιγράφοντας το περιστατικό ως εκμετάλλευση ενός τρίτου-μέρους smart-wallet module μη συνδεόμενου με τα επίσημα συμβόλαια ή υπηρεσίες της Squid.

Η επίθεση προστέθηκε σε μια αυξανόμενη λίστα περιστατικών ασφάλειας DeFi που αναφέρθηκαν το 2026. 

Όπως αναφέρθηκε προηγουμένως από το Invezz, την περασμένη εβδομάδα το Echo Protocol υπέστη exploit στο Monad αφού οι δράστες δημιούργησαν περίπου $76.7 million αξίας μη εξουσιοδοτημένων eBTC tokens μέσω ενός συμβάντος που ερευνητές συνέδεσαν αργότερα με συμβιβασμό admin key. 

Οι ερευνητές στη συγκεκριμένη υπόθεση επίσης δήλωσαν ότι το ίδιο το blockchain δεν παραβιάστηκε, ενώ αδύναμοι λειτουργικοί έλεγχοι γύρω από εξουσιοδοτήσεις εκχώρησης και δικαιώματα κοπής (mint authority) επέτρεψαν στο exploit να κλιμακωθεί.