Khoảng 3,2 triệu USD đã bị rút khỏi 86 Gnosis Safe chỉ trong hai giờ qua một lỗ hổng ở module bên thứ ba mang tên SquidRouterModule.
Sự việc gây chú ý vì vụ khai thác diễn ra trên Base và Ethereum, trong khi tên hợp đồng dễ khiến nhiều người nhầm với Squid Router chính thức. Dữ liệu hiện có cho thấy tài sản bị hoán đổi nhanh sang DAI và địa chỉ tấn công từng nhận 2,1 ETH qua TornadoCash.
- 86 Gnosis Safe bị khai thác trong chưa đầy hai giờ, với tổng thiệt hại khoảng 3,2 triệu USD.
- Lỗ hổng nằm ở SquidRouterModule của bên thứ ba, không phải hợp đồng cốt lõi của Squid Router.
- Tài sản bị đổi sang khoảng 3 triệu USD DAI, còn ví tấn công có liên hệ với 2,1 ETH từ TornadoCash.
Điều đã xảy ra với 86 Gnosis Safe
Trong thời gian rất ngắn, 86 Gnosis Safe đã bị rút tài sản thông qua một module hợp đồng thông minh bị khai thác. Tổng giá trị thất thoát được ước tính khoảng 3,2 triệu USD, trải trên Base và Ethereum.
Khoản tiền bị đánh cắp sau đó được chuyển đổi gần như ngay lập tức sang khoảng 3 triệu USD DAI thông qua các pool Uniswap V3 do kẻ tấn công kiểm soát. Cách xử lý này khiến dòng tiền được “làm sạch” nhanh hơn và khó theo dõi hơn trong ngắn hạn.
Vì sao lỗ hổng này có thể vượt qua lớp bảo vệ của Gnosis Safe
Điểm yếu nằm ở thiết kế của module bên thứ ba có tên SquidRouterModule. Mã nguồn công khai của module này cho phép một chuỗi bất biến do bên gọi cung cấp được dùng như bằng chứng cho tính an toàn của thông điệp, từ đó tạo ra kẽ hở để vượt qua các cơ chế kiểm tra.
Sau khi chuỗi đó được cung cấp, module cho phép thực thi calldata nằm trong một mảng. Vì module đã được người dùng đưa vào danh sách hợp lệ trong Gnosis Safe với quyền cao, kẻ tấn công có thể rút tiền mà không cần chữ ký người dùng cho từng giao dịch.
Theo dữ liệu hiện có, nguyên nhân gốc không nằm ở toàn bộ hệ sinh thái Gnosis Safe mà ở chính module bên thứ ba này. Hợp đồng Squid Router chính thức sử dụng kiến trúc khác và không bị ảnh hưởng trong vụ việc.
Squid Router chính thức nói gì
Squid Router cho biết hợp đồng bị khai thác không do đội ngũ của họ xây dựng, triển khai hay quản lý. Phía dự án nói đây là một smart wallet do bên thứ ba tích hợp với Squid và một số dự án khác.
Dự án cũng nhấn mạnh rằng sự cố này không liên quan đến giao thức lõi hay các hợp đồng chính thức của Squid. Một phần nhầm lẫn ban đầu đến từ việc tên hợp đồng bị khai thác trên Basescan trùng hoặc gần giống với tên Squid Router.
Rủi ro từ các module và quyền đã cấp sẵn
Vụ việc cho thấy rủi ro lớn có thể đến từ các thành phần tích hợp bên ngoài, không nhất thiết từ giao thức chính. Khi một module đã được whitelisted và nắm quyền cao trong ví, lỗi ở module đó có thể trở thành đường đi trực tiếp tới tài sản.
Trường hợp này cũng cho thấy các thiết lập quyền trước đó có thể bị lạm dụng nếu người dùng không kiểm tra lại các tích hợp đã chấp thuận. Với các ví đa chữ ký hoặc smart wallet, bề mặt tấn công đôi khi nằm ở lớp phụ trợ hơn là ở ứng dụng chính.
Tổng kết
Sự cố SquidRouterModule là một ví dụ về rủi ro từ hợp đồng bên thứ ba trong hệ sinh thái ví thông minh. Dữ liệu hiện có cho thấy thiệt hại đã xảy ra rất nhanh, còn việc phân biệt giữa module bị khai thác và dự án chính thức là điểm cần được theo dõi kỹ.
