SquidRouterModule-moduulissa — kolmannen osapuolen moduuli, joka on integroitu Safeen — oleva haavoittuvuus mahdollisti hyökkääjän tyhjentää noin 3,2 miljoonaa dollaria Safe-lompakoista Ethereumissa ja Basessa tällä viikolla. Hyökkäys kohdistui käyttäjiin, jotka olivat hyväksyneet moduulin, ja nouti varat ennen kuin hyökkäys havaittiin. Sekä Squid, moduulin takana oleva joukkue, että Safe Labs ovat julkisesti kieltäneet vastuunsa, jättäen vaikutetuksi jääneet käyttäjät epävarmuuteen.
Miten hyökkäys toimi
SquidRouterModule on ryhmäketjuinen reititystyökalu, jonka Safe-käyttäjät voivat lisätä lompakkoihinsa. Hyökkääjä löysi tavan väärinkäyttää moduulin oikeuksia, nostamalla varoja lompakoista, joissa oli aktiivisia valtuuksia. 3,2 miljoonan dollarin saalis jaettiin Ethereumin ja Basen välillä — kahdella verkkokohdalla, joissa moduulin käyttö oli vilkkainta.
Kuka kantaa vastuun
Ei Squid. Ei Safe Labs. Molemmat joukkueet julkaisivat lausunnot, joissa he korostivat, etteivät ole vastuussa. Safe Labs korosti, että moduuli on kolmannen osapuolen ohjelmistoa, ei osa Safe-sopimuksen ydintoiminnallisuutta. Squid väitti, että moduuli itse ei ollut haavoittunut — hyökkäys johtui siitä, miten käyttäjät vuorovaikuttivat sen kanssa. Syyllisten sormen osoittaminen tarkoittaa, että kenenkään keskeisen osapuolen ei ole ilmoittanut korvaavansa uhreja.
Mitä käyttäjien tulisi tarkistaa nyt
Jos olet koskaan hyväksynyt SquidRouterModulein Safe-lompakossa, varasi saattavat edelleen olla vaarassa. Hyökkäys on edelleen aktiivinen ja sitä ei ole korjattu — hyökkääjä voi iskeä uudelleen. Turvallisuustutkijat suosittelevat moduulin valtuuksien välittömää peruuttamista ja varojen siirtämistä uuteen Safe-lompakkoon, jossa moduulia ei ole käytössä. Vahingot ovat tähän mennessä 3,2 miljoonaa dollaria, mutta tämä summa voi kasvaa, jos käyttäjät eivät ryhdy toimiin.
Kysymys siitä, kuka kattaa tappiot — jos kukaan —, jää edelleen avoimeksi.
