Ecco come gli attaccanti hanno prosciugato $3.2M da wallet Safe su Ethereum e Base

Una vulnerabilità legata a un modulo di wallet Safe di terze parti ha portato al furto di circa $3.2 milioni su Ethereum e Base dopo che gli attaccanti hanno sfruttato i permessi di esecuzione delegata per prosciugare dozzine di account basati su smart contract in circa due ore.

La società di sicurezza blockchain Blockaid ha dichiarato che l'exploit ha preso di mira un contratto identificato come SquidRouterModule, colpendo almeno 86 wallet Gnosis Safe, prima che gli asset rubati venissero convertiti in DAI tramite pool Uniswap V3 controllati dagli aggressori.

I dati condivisi dalla società mostrano che l'attaccante ha poi consolidato i proventi in un wallet che deteneva circa 3,07 milioni di DAI.

I record on-chain collegati da Blockaid hanno identificato l'indirizzo dell'aggressore come 0x9bdc730183821b6bb2b51be30b77c964fa645b91. 

I dati di Etherscan citati da Lookonchain hanno mostrato che l'indirizzo era stato finanziato tramite Tornado Cash e aveva registrato 52 transazioni il 25 maggio.

La stessa indagine ha anche tracciato una transazione di prosciugamento eseguita alle 06:25 UTC, in cui gli asset rubati, tra cui USDC, ENA e USDT, sono stati instradati attraverso pool di liquidità Uniswap V3 prima della conversione.

Come è stato eseguito l'exploit?

I primi rilievi di Blockaid suggeriscono che l'exploit sia nato da una falla all'interno della funzione executeSameChainActions() del modulo di terze parti e non dall'infrastruttura core di Safe. 

Secondo la società, l'attaccante ha distribuito contratti exploit basati su Foundry che abusavano del percorso di esecuzione DelegateBundler del modulo per impersonare delegati autorizzati collegati ai wallet delle vittime.

Una volta bypassati i controlli di verifica, l'attaccante poteva avviare swap arbitrari direttamente dai Safe colpiti senza necessitare delle normali approvazioni multisignature richieste dal sistema di wallet. 

Blockaid ha dichiarato che l'exploit ha permesso all'attaccante di scambiare asset legittimi con un token creato dall'attaccante e privo di valore identificato come “u”, prima che la liquidità venisse rimossa e i proventi convertiti in DAI.

Sospetto impersonamento di delegati nell'exploit del modulo

Ulteriori analisi tecniche condivise dal fondatore di SlowMist, Cos, suggeriscono che il problema non fosse legato a chiavi private compromesse. 

In un post tradotto su X, Cos ha detto che i wallet vittima campionati erano per lo più configurati come Safe a firma singola posseduti da utenti diversi, mentre la vera debolezza sembrava derivare da moduli di wallet vulnerabili collegati a quegli account.

Secondo Cos, gli attaccanti sono stati in grado di falsificare messaggi e bypassare i controlli di verifica del modulo, permettendo operazioni di riscatto e trasferimento non autorizzate dai wallet Safe presi di mira. 

Il ricercatore ha inoltre indicato lo stesso wallet di consolidamento identificato da Blockaid, dove i fondi rubati sarebbero stati depositati.

Wallet dell'attaccante contenente DAI. Fonte: Etherscan.

L'exploit si è sostanzialmente basato sul modo in cui i moduli Safe operano all'interno dei wallet basati su smart contract. 

A differenza delle transazioni standard di Safe che richiedono approvazioni multiple dei proprietari, i moduli possono eseguire azioni direttamente una volta che gli utenti concedono loro permessi di fiducia. 

La falla all'interno dello SquidRouterModule sembrerebbe derivare da una convalida dell'identità inadeguata, che avrebbe permesso payload maligni di spacciarsi per delegati approvati.

Poiché il modulo possedeva già ampi permessi di esecuzione all'interno dei wallet collegati, le richieste contraffatte sarebbero state trattate come istruzioni legittime dagli stessi contratti Safe.

Wallet colpiti non collegati a Safe

Il CEO di Safe Labs, Rahul Rumalla, ha poi dichiarato che gli account compromessi “non sembrano essere operati sul prodotto ufficiale Safe Wallet”, aggiungendo che gli investigatori non sanno ancora dove i wallet siano stati originariamente creati e gestiti.

Rumalla ha affermato che i wallet colpiti sono probabilmente stati distribuiti tramite integrazioni esterne piuttosto che tramite l'interfaccia ufficiale di Safe.

Rumalla ha inoltre detto che Safe Shield, il sistema di avviso integrato dell'azienda alimentato da Blockaid, aveva già identificato il modulo come dannoso prima dell'incidente.

Secondo lui, il sistema di protezione avverte gli utenti quando moduli o guardie non verificati richiedono permessi pericolosi.

Squid nega il coinvolgimento

Nel frattempo, Squid ha negato che la propria infrastruttura di routing o i contratti core siano stati violati. 

In una dichiarazione pubblicata su X, il team ha affermato che il contratto sfruttato condivideva soltanto il nome SquidRouterModule e non aveva alcuna connessione con l'architettura del router di produzione di Squid.

Il protocollo ha aggiunto che tutti gli utenti e gli integratori di Squid sono rimasti non interessati, descrivendo l'incidente come un exploit di un modulo smart-wallet di terze parti non correlato ai contratti o ai servizi ufficiali di Squid.

L'attacco si è aggiunto a una lista crescente di incidenti di sicurezza DeFi segnalati nel 2026. 

Come precedentemente segnalato da Invezz, la scorsa settimana Echo Protocol ha subito un exploit su Monad dopo che gli attaccanti hanno coniato circa $76.7 million in token eBTC non autorizzati attraverso quello che i ricercatori hanno poi collegato a una compromissione delle chiavi admin. 

Gli investigatori in quel caso hanno inoltre affermato che la blockchain stessa non era stata violata, mentre deboli controlli operativi relativi ai permessi delegati e all'autorità di conio hanno permesso all'exploit di amplificarsi.