Safe i Squid po ataku na moduł

Atak na moduł, nie na core projektu

Projekty Squid i Safe Labs potwierdziły, że utrata około 3,2 mln dolarów nie wynikała z luki w ich głównych systemach. Problem dotyczył zewnętrznego modułu Safe zintegrowanego z portfelami Safe, który został wykorzystany przez atakującego.

Squid zaznaczył, że jego własna infrastruktura pozostała nienaruszona, a za incydent odpowiadał moduł o nazwie SquidRouterModule, który jedynie dzielił nazwę z rozwiązaniem Squid, ale nie był częścią jego kodu źródłowego.

Jak doszło do wyprowadzenia środków

Safe, wcześniej znany jako Gnosis Safe, to popularny portfel multi-signature wykorzystywany w DeFi. Jego konstrukcja pozwala na rozszerzanie funkcji przez dodatkowe moduły smart contractów. To właśnie ta elastyczność okazała się słabym punktem.

Według dostępnych danych atak objął co najmniej 86 portfeli Safe w ciągu około dwóch godzin. Środki zostały następnie wymienione na DAI za pośrednictwem kontrolowanych przez napastnika pul Uniswap V3, a potem skonsolidowane w jednym miejscu.

W praktyce oznacza to, że jeśli moduł otrzyma zbyt szerokie uprawnienia wykonawcze, może działać w imieniu portfela i inicjować nieautoryzowane operacje. Sam portfel może być bezpieczny jako produkt, ale dołączony element staje się furtką dla atakującego.

Dlaczego to ważne dla użytkowników DeFi

Ten incydent pokazuje, że w ekosystemie DeFi ryzyko nie zawsze leży w samym protokole. Często pojawia się ono na styku zewnętrznych integracji, modułów i dodatkowych smart contractów.

Najważniejsze wnioski dla użytkowników są proste:

• warto regularnie sprawdzać, jakie moduły są podłączone do portfela,
• dobrze jest usuwać elementy, z których już się nie korzysta,
• trzeba uważać na rozwiązania, które proszą o szerokie uprawnienia,
• nawet popularny multi-sig nie daje pełnej ochrony, jeśli korzysta z ryzykownych rozszerzeń.

Safe Shield i sygnały ostrzegawcze

Safe Labs wskazał, że jego narzędzie Safe Shield ma służyć do wykrywania potencjalnie złośliwych lub niezweryfikowanych modułów i guardów jeszcze przed ich użyciem. Z perspektywy bezpieczeństwa to istotne, bo właśnie takie rozszerzenia mogą przejąć kontrolę nad przepływem środków.

W sprawie pojawiła się też informacja, że zaatakowany moduł był już wcześniej oznaczony jako podejrzany w systemach detekcji ryzyka. To dodatkowo podkreśla, jak ważna jest ostrożność przy podpinaniu komponentów tworzonych poza głównym zespołem projektu.

Sygnał ostrzegawczy dla całego sektora

Choć strata rzędu 3,2 mln dolarów nie musi od razu wywołać szoku na szerokim rynku, dla użytkowników i projektów DeFi to wyraźne przypomnienie, że bezpieczeństwo w kryptowalutach jest warstwowe. Nawet jeśli core protokołu pozostaje nienaruszony, problem może pojawić się w zewnętrznej części infrastruktury.

Właśnie dlatego takie ataki budzą niepokój: pokazują, że w świecie on-chain nie wystarczy ufać samej marce portfela czy protokołu. Trzeba jeszcze dokładnie wiedzieć, co zostało do niego podłączone.