ช่องโหว่ในสิ่งที่เรียกว่า SquidRouterModule ทำให้ผู้โจมตีสามารถขโมยเงินประมาณ 3.2 ล้านดอลลาร์สหรัฐจากวอลเล็ต Gnosis Safe 86 แห่งที่กระจายอยู่บน Ethereum และ Base การโจรกรรมทั้งหมดใช้เวลาประมาณสองชั่วโมง
บริษัทด้านความปลอดภัยของบล็อกเชน Blockaid ระบุการละเมิดเมื่อวันที่ 25 พฤษภาคม เงินที่ถูกขโมยถูกแลกเปลี่ยนเป็น DAI ผ่านพูล Uniswap V3 ที่ผู้โจมตีเปิดขึ้น รวมเงินประมาณ 3.07 ล้านดอลลาร์สหรัฐเข้าสู่วอลเล็ตเดียว
สิ่งที่ต้องทราบคือ โมดูลที่ถูกโจมตีไม่ได้เป็นส่วนหนึ่งของโปรโตคอล Squid หลักเลย มันเป็นส่วนเสริมจากบุคคลที่สาม ซึ่งทำให้สถานการณ์ทั้งหมดนี้ไม่น่าแปลกใจนัก แต่กลับน่ากังวลยิ่งขึ้น
วิธีที่การโจมตีทำงาน
ปัญหา ตามที่ Blockaid และ PeckShield ระบุ คือการยืนยันตัวตนที่ไม่ถูกต้องภายในโมดูล โมดูลไม่ได้ตรวจสอบอย่างถูกต้องว่าผู้ใดเป็นผู้เรียกใช้งานจริง ผู้โจมตีได้แทรกสตริงที่ผู้เรียกให้มาเพื่อแอบอ้างเป็นผู้ใช้งานที่ได้รับอนุญาต ทำให้โมดูลหลอกตัวเองให้ดำเนินการธุรกรรมโดยไม่ได้รับความยินยอมจากเจ้าของวอลเล็ต
สินทรัพย์ที่ถูกปลอมแปลงในการโจมตีรวมถึง USDC, ENA และ USDT หลังจากถูกดึงออกทั้งหมด จะถูกส่งผ่าน Uniswap V3 และแปลงเป็น DAI
วอลเล็ตของผู้โจมตี ซึ่งระบุว่า 0xa447…54859 ขณะนี้ถือครองผลกำไรที่รวมแล้ว การระดมทุนเริ่มต้นของผู้โจมตีมาจากการใช้ Tornado Cash
Squid ดำเนินการอย่างรวดเร็วเพื่อแยกตัวออกจากเหตุการณ์ดังกล่าว โดยยืนยันว่า SquidRouterModule ไม่มีความเกี่ยวข้องใดๆ กับโปรโตคอลและสัญญาหลักของมัน บริษัทรับรองกับผู้ใช้ว่าการดำเนินงานหลักของมันยังคงปลอดภัย
รูปแบบที่คุ้นเคยในความปลอดภัยของ DeFi
โมดูลจากบุคคลที่สามที่อนุญาตให้ดำเนินการโอนเงินโดยไม่ได้รับความยินยอมจากเจ้าของเป็นช่องทางความเสี่ยงที่รู้จักกันมาอย่างน้อยตั้งแต่ปี 2020 สถาปัตยกรรมแบบโมดูลาร์ที่ทำให้วอลเล็ต Gnosis Safe มีประสิทธิภาพ ก็คือสถาปัตยกรรมเดียวกันที่สร้างพื้นที่โจมตี
SquidRouterModule ได้รับการยืนยันบน Basescan ซึ่งให้ความรู้สึกเหมือนมีความน่าเชื่อถือ แต่การยืนยันบนนักสำรวจบล็อกหมายเพียงว่ารหัสแหล่งที่มาสามารถอ่านได้สาธารณะ ไม่ได้หมายความว่ารหัสดังกล่าวได้รับการตรวจสอบ ทดสอบในสภาพแวดล้อมจริง หรือปราศจากข้อบกพร่องร้ายแรง
ช่วงเวลาสองชั่วโมงระหว่างการเริ่มต้นการดูดเงินและการรวมตัวแสดงให้เห็นถึงความเร็วที่เงินทุนสามารถเคลื่อนย้ายได้ใน DeFi ทันทีที่พบช่องโหว่ เมื่อ Blockaid แจ้งเตือนกิจกรรมดังกล่าว ผู้โจมตีได้ดำเนินการเสร็จสิ้นแล้วและเก็บผลกำไรไว้ใน DAI
สิ่งนี้หมายความว่าอย่างไรสำหรับนักลงทุน
ความกังวลทันทีคือเรียบง่าย: หากคุณมีวอลเล็ต Gnosis Safe ที่เปิดใช้งาน SquidRouterModule คุณควรเพิกถอนสิทธิ์ของมันทันที วอลเล็ตใดๆ ที่ให้สิทธิ์การเข้าถึงโมดูลนี้ อาจอยู่ในความเสี่ยง ไม่ว่าจะถูกเป้าหมายในการโจมตีครั้งนี้หรือไม่
การใช้ Tornado Cash สำหรับการระดมทุนเริ่มต้นและสระ Uniswap V3 สำหรับการฟอกเงินยังคงตั้งคำถามถึงความสามารถของระบบนิเวศ DeFi ในการตอบสนองต่อการโจมตีแบบเรียลไทม์ เมื่อเงินเข้าสู่บริการผสม ความเป็นไปได้ในการกู้คืนจะยากขึ้นเป็นเท่าตัว และการรวมเงินของผู้โจมตีเข้าสู่ DAI หมายความว่ารายได้เหล่านั้นสามารถนำกลับมาใช้ใหม่หรือเชื่อมโยงผ่านข้ามเครือข่ายได้อย่างง่ายดาย
โปรโตคอลหลักของ Squid อาจไม่ได้รับผลกระทบ แต่บริษัทตอนนี้ต้องเผชิญกับความท้าทายในการอธิบายว่าทำไมโมดูลที่ใช้ชื่อของมัน แม้จะพัฒนาอย่างอิสระ ถึงกลายเป็นช่องทางสำหรับการขโมยเงินหลายล้านดอลลาร์