В минувшие выходные хакеры вывели $3,2 млн с кошельков Gnosis Safe. Злоумышленники использовали уязвимость в модуле SquidRouterModule — компоненте модульной архитектуры платформы. Инцидент пополнил список взломов DeFi, где сложные взаимосвязанные системы открывают возможности для целенаправленных краж.
Уязвимый модуль
Gnosis Safe — популярный мультиподписной кошелек для управления цифровыми активами. Однако, как и многие инструменты DeFi, он использует внешние модули для расширения функциональности. Модуль SquidRouterModule, помогающий маршрутизировать транзакции между различными протоколами, стал точкой входа для эксплойта. Следователи пока не раскрыли полные технические детали, но злоумышленнику удалось обойти защиту и напрямую вывести средства из кошельков пользователей.
Сумма похищенного — $3,2 млн — была подтверждена фирмами по безопасности, мониторящими блокчейн. Средства все еще отслеживаются, по состоянию на понедельник об их возврате не сообщалось.
Проблема модульной безопасности DeFi
Эксплойт выявил повторяющуюся слабость децентрализованных финансов: модульность. Платформы DeFi часто объединяют несколько смарт-контрактов и сторонних модулей для предоставления новых функций. Каждая интеграция — это потенциальная поверхность атаки. Инцидент с SquidRouterModule показывает, что даже широко используемые кошельки, такие как Gnosis Safe, не застрахованы.
Аудиты безопасности призваны выявлять такие недостатки до запуска. Но темпы разработки в DeFi часто опережают циклы рецензирования. В результате возникают пробелы, которые используют злоумышленники. Это последнее ограбление усиливает призывы к более строгому и непрерывному аудиту каждого модуля системы, а не только основных контрактов.
Gnosis Safe пока не выступил с официальным заявлением по поводу эксплойта. Пользователям рекомендуется отозвать разрешения для модуля SquidRouterModule до дальнейших уведомлений, хотя ущерб уже нанесен.
Теперь вопрос в том, содержат ли другие модули экосистемы Gnosis Safe аналогичные уязвимости — и как быстро команда сможет их устранить.
