ช่องโหว่ใน SquidRouterModule ซึ่งเป็นโมดูลของบุคคลที่สามที่รวมเข้ากับ Safe เปิดโอกาสให้ผู้โจมตีสามารถดูดเงินประมาณ 3.2 ล้านดอลลาร์จากกระเป๋า Safe บน Ethereum และ Base ในสัปดาห์นี้ การโจมตีดังกล่าวมุ่งเป้าไปที่ผู้ใช้ที่อนุมัติโมดูลนี้ โดยดูดเงินก่อนที่การโจมตีจะถูกตรวจพบ ทั้ง Squid ซึ่งเป็นทีมที่พัฒนาโมดูล และ Safe Labs ต่างออกมาปฏิเสธความรับผิดชอบต่อสาธารณะ ทำให้ผู้ใช้ที่ได้รับผลกระทบตกอยู่ในสถานะไม่แน่นอน
วิธีการทำงานของการโจมตี
SquidRouterModule เป็นเครื่องมือกำหนดเส้นทางข้ามสายโซ่ (cross-chain) ที่ผู้ใช้ Safe สามารถเพิ่มเข้าไปในกระเป๋าได้ ผู้โจมตีพบวิธีใช้สิทธิ์ของโมดูลในทางที่ผิด โดยถอนสินทรัพย์จากกระเป๋าที่มีการอนุมัติอยู่ มูลค่า 3.2 ล้านดอลลาร์ที่ถูกยึดไปถูกกระจายระหว่าง Ethereum และ Base ซึ่งเป็นสองเครือข่ายที่โมดูลนี้ทำงานมากที่สุด
ใครรับผิด?
ไม่ใช่ Squid ไม่ใช่ Safe Labs ทั้งสองทีมออกแถลงการณ์ปฏิเสธความรับผิดชอบ Safe Labs ย้ำว่าโมดูลนี้เป็นซอฟต์แวร์ของบุคคลที่สาม ไม่ใช่ส่วนหนึ่งของสัญญาหลักของ Safe Squid โต้แย้งว่าโมดูลเองไม่ถูกเจาะ การโจมตีเกิดจากวิธีที่ผู้ใช้โต้ตอบกับมัน การชี้โทษกันไปมาหมายความว่าไม่มีฝ่ายใดออกมาชดใช้ค่าเสียหายแก่ผู้เสียหาย
สิ่งที่ผู้ใช้ควรตรวจสอบตอนนี้
หากคุณเคยอนุมัติ SquidRouterModule ในกระเป๋า Safe เงินของคุณอาจยังมีความเสี่ยง การโจมตียังคงดำเนินอยู่และยังไม่ได้รับการแก้ไข ผู้โจมตีสามารถโจมตีซ้ำได้ นักวิจัยด้านความปลอดภัยแนะนำให้เพิกถอนการอนุมัติโมดูลทันทีและย้ายสินทรัพย์ไปยัง Safe ใหม่ที่ไม่ได้เปิดใช้งานโมดูลนี้ ความเสียหายในตอนนี้คือ 3.2 ล้านดอลลาร์ แต่ตัวเลขอาจเพิ่มขึ้นหากผู้ใช้ไม่ดำเนินการ คำถามว่าใครจะชดใช้ความสูญเสีย—ถ้ามีใคร—ยังคงไม่มีคำตอบ
