ثغرة في شيء يُسمى SquidRouterModule سمحَت لمهاجم بسرقة حوالي 3.2 مليون دولار من 86 محفظة Gnosis Safe موزعة على Ethereum وBase. استغرق كامل العملية حوالي ساعتين.
حددت شركة أمن البلوكشين Blockaid الاختراق في 25 مايو. تم تبديل الأموال المسروقة بسرعة إلى DAI من خلال مجموعات Uniswap V3 التي فتحها المهاجم، وجمع حوالي 3.07 مليون دولار في محفظة واحدة.
المسألة هي أن الوحدة المستغلة لم تكن جزءًا من بروتوكول Squid الأساسي على الإطلاق. كانت إضافة من طرف ثالث، مما يجعل الوضع كله أقل مفاجأة وأكثر إثارة للقلق.
كيف عمل الاستغلال
المشكلة، وفقًا لكل من Blockaid وPeckShield، كانت تحققًا غير صحيح للهوية داخل الوحدة. لم تتحقق الوحدة بشكل صحيح من من يدعوها فعليًا. قام المهاجم بإدخال سلاسل مقدمة من المُستدعي لتقليد مستخدمين مصرح لهم، مما أدى إلى خداع الوحدة لتنفيذ المعاملات دون موافقة مالكي المحافظ.
العملات المزيفة التي شملتها الهجمة كانت تشمل USDC وENA وUSDT. وبعد سحبها، تم توجيه كل شيء عبر Uniswap V3 وتحويلها إلى DAI.
محفظة المهاجم، التي تم تحديدها على أنها 0xa447…54859، تحتفظ الآن بالعائدات المجمعة. جاء التمويل الأولي للمهاجم من Tornado Cash.
تحركت Squid بسرعة لفصل نفسها عن الحادث، ووضحت أن SquidRouterModule مستقل تمامًا عن بروتوكولها وعقودها الأساسية. وطمأنت الشركة المستخدمين أن عملياتها الأساسية لا تزال آمنة.
نمط مألوف في أمن DeFi
لقد كانت وحدات طرف ثالث تمكن من إجراء معاملات غير مصرح بها دون موافقة المالك خطرًا معروفًا منذ على الأقل عام 2020. إن البنية المعيارية التي تجعل محافظ Gnosis Safe قوية هي نفسها البنية التي تخلق سطح هجوم.
تم التحقق من SquidRouterModule على Basescan، مما يمنحه مظهرًا من الشرعية. لكن التحقق على مستكشف كتلة يعني ببساطة أن شفرة المصدر قابلة للقراءة علنًا. لا يعني ذلك أن الشفرة خضعت للمراجعة أو الاختبار العملي أو أنها خالية من العيوب الحرجة.
نافذة الساعتين بين بدء السحب والتوحيد تُبرز مدى سرعة تحرك الأموال في التمويل اللامركزي بمجرد اكتشاف ثغرة. بحلول الوقت الذي حددت فيه Blockaid النشاط، كان المهاجم قد أكمل العملية بالفعل ووضع العائدات في DAI.
ما يعنيه ذلك للمستثمرين
القلق الفوري بسيط: إذا كان لديك محفظة Gnosis Safe مع تمكين SquidRouterModule، فيجب عليك سحب إذنها فورًا. أي محفظة منحت هذا الوحدة وصولًا تكون عرضة للخطر محتملًا، بغض النظر عما إذا كانت مستهدفة في هذا الهجوم المحدد أم لا.
استخدام Tornado Cash للتمويل الأولي وحوض Uniswap V3 للغسل يثير أيضًا أسئلة مستمرة حول قدرة نظام DeFi على الاستجابة للهجمات في الوقت الفعلي. بمجرد وصول الأموال إلى خدمة الخلط، يصبح الاسترداد أصعب بكثير، ويعني تجميع المهاجم للأموال في DAI أنه يمكن إعادة استخدامها أو نقلها بسهولة نسبية.
قد لا يتأثر البروتوكول الأساسي لـ Squid، لكن الشركة تواجه الآن تحديًا في توضيح سبب تحول وحدة تحمل اسمها، حتى لو تم تطويرها بشكل مستقل، إلى وسيلة لسرقة تبلغ ملايين الدولارات.