Zo haalden aanvallers $3.2M uit Safe-wallets op Ethereum en Base

Een kwetsbaarheid die verband houdt met een third-party Safe-walletmodule heeft geleid tot de diefstal van ongeveer $3.2 million op zowel Ethereum als Base, nadat aanvallers gedelegeerde uitvoeringsmachtigingen misbruikten om tientallen smart accounts in ongeveer twee uur leeg te halen.

Blockchainbeveiliger Blockaid meldde dat de exploit was gericht op een contract dat als SquidRouterModule was geïdentificeerd, en minstens 86 Gnosis Safe-wallets trof, voordat de gestolen middelen via door de aanvaller gecontroleerde Uniswap V3-pools in Dai werden omgezet.

Door het bedrijf gedeelde data toonden aan dat de aanvaller later de opbrengst consolideerde in een wallet met ongeveer 3.07 million DAI.

On-chain records die Blockaid koppelde, identificeerden het exploiter-adres als 0x9bdc730183821b6bb2b51be30b77c964fa645b91. 

Etherscan-gegevens, geciteerd door Lookonchain, toonden dat het adres was gefinancierd via Tornado Cash en 52 transacties op 25 mei had geregistreerd.

Hetzelfde onderzoek tracede ook een voorbeeldtransactie die om 06:25 UTC werd uitgevoerd, waarbij gestolen activa, waaronder USDC, ENA en USDT, via Uniswap V3-liquiditypools werden geleid voordat ze werden geconverteerd.

Hoe werd de exploit uitgevoerd?

Vroege bevindingen van Blockaid suggereerden dat de exploit voortkwam uit een fout in de executeSameChainActions()-functie van de third-party module en niet uit de kerninfrastructuur van Safe. 

Volgens het bedrijf zette de aanvaller exploit-contracten gebaseerd op Foundry in die het uitvoeringspad DelegateBundler van de module misbruikten om zich voor te doen als geautoriseerde delegates die aan slachtoffer-wallets waren gekoppeld.

Zodra de verificatiecontroles waren omzeild, kon de aanvaller willekeurige swaps direct vanuit de getroffen Safes triggeren zonder de normale multisignature-goedkeuringen die door het walletsysteem vereist zijn. 

Blockaid zei dat de exploit de aanvaller in staat stelde legitieme activa te ruilen voor een waardeloos door de aanvaller gecreërd token dat als “u” werd geïdentificeerd, voordat de liquiditeit werd verwijderd en de opbrengst in DAI werd geconverteerd.

Verdenking van delegate-naamgeving in module-exploit

Verdere technische analyse gedeeld door SlowMist-oprichter Cos suggereerde dat het probleem niet te wijten was aan gecompromitteerde private keys. 

In een vertaalde post op X zei Cos dat de onderzochte slachtoffer-wallets grotendeels waren geconfigureerd als single-signature Safes in bezit van verschillende gebruikers, terwijl de werkelijke zwakte leek te komen van kwetsbare walletmodules die aan die accounts waren gekoppeld.

Volgens Cos konden aanvallers berichten vervalsen en moduleverificatiecontroles omzeilen, wat ongeautoriseerde inlossings- en transferoperaties vanuit de getroffen Safe-wallets mogelijk maakte. 

De onderzoeker wees ook naar dezelfde consolidatiewallet die door Blockaid was geïdentificeerd, waar de gestolen fondsen naar verluidt werden verrekend.

Portemonnee van aanvaller met DAI. Bron: Etherscan.

De exploit berustte in wezen op hoe Safe-modules werken binnen smart contract-wallets. 

In tegenstelling tot standaard Safe-transacties die meerdere goedkeuringen van eigenaren vereisen, kunnen modules acties direct uitvoeren zodra gebruikers hen vertrouwde permissies verlenen. 

De fout in de SquidRouterModule leek voort te komen uit onjuiste identificatievalidatie, waardoor kwaadaardige payloads zich konden voordoen als goedgekeurde delegates.

Omdat de module al brede uitvoeringsmachtigingen binnen de gekoppelde wallets bezat, werden de vervalste verzoeken naar verluidt door de Safe-contracts zelf als legitieme instructies behandeld.

Getroffen wallets niet gekoppeld aan Safe

Safe Labs-CEO Rahul Rumalla zei later dat de gecompromitteerde accounts “niet lijken te worden gebruikt op het officiële Safe Wallet-product,” en voegde eraan toe dat onderzoekers nog steeds niet weten waar de wallets oorspronkelijk zijn aangemaakt en beheerd.

Rumalla verklaarde dat de getroffen wallets waarschijnlijk via externe integraties waren uitgerold in plaats van via Safe’s officiële interface.

Rumalla zei ook dat Safe Shield, het ingebouwde waarschuwingssysteem van het bedrijf dat op Blockaid draait, de module al als kwaadaardig had geïdentificeerd vóór het incident.

Volgens hem waarschuwt het protectiesysteem gebruikers wanneer ongeverifieerde modules of guards gevaarlijke permissies aanvragen.

Squid ontkent betrokkenheid

Ondertussen ontkende Squid dat zijn routinginfrastructuur of kerncontracten waren geschonden. 

In een verklaring geplaatst op X zei het team dat het geëxploiteerde contract slechts de naam SquidRouterModule deelde en geen verbinding had met Squid’s productie-routerarchitectuur.

Het protocol voegde eraan toe dat alle Squid-gebruikers en integrators onberoerd bleven, en beschreef het incident als een third-party smart-walletmodule-exploit die geen verband hield met Squid’s officiële contracten of diensten.

De aanval voegt zich bij een groeiende lijst van DeFi-beveiligingsincidenten die in 2026 zijn gemeld. 

Zoals eerder gerapporteerd door Invezz, heeft Echo Protocol vorige week een exploit op Monad ondergaan nadat aanvallers ongeveer $76.7 million aan ongeautoriseerde eBTC-tokens hadden gemint via wat onderzoekers later koppelden aan een compromise van een admin key. 

Onderzoekers in die zaak zeiden ook dat de blockchain zelf niet was geschonden, terwijl zwakke operationele controles rond gedelegeerde permissies en mint-authority de exploit lieten escaleren.