-
O invasor converteu tudo o que foi roubado em DAI por meio de pools de troca que ele mesmo configurou.
-
As carteiras afetadas seriam da empresa Gnosis Safe, segundo a empresa Blockaid.
Uma exploração drenou aproximadamente US$ 3 milhões de 86 carteiras de criptomoedas em cerca de duas horas, detectou a empresa de segurança Blockaid em 25 de maio. No momento em que a vulnerabilidade foi detectada, pesquisadores da empresa garantiram que ela ainda estava ativa.
As carteiras afetadas Eles operavam nas redes Ethereum e Basee todos eles tinham um módulo de integração Squid Router habilitado, ferramenta que permite executar trocas de tokens entre diferentes redes diretamente da carteira.
O invasor não precisava das chaves privadas de suas vítimas. Em vez disso, de acordo com a Blockaid, explorou uma vulnerabilidade neste módulo externo para personificar um operador autorizado dentro de cada carteira e executar transações como se você tivesse permissão legítima para fazê-lo.
Como funcionou o esvaziamento?
De acordo com o que foi explicado pela equipe do Blockaid, as carteiras afetadas seriam da empresa Gnosis Safe, carteiras projetadas para exigir múltiplas assinaturas antes de movimentar fundos, amplamente utilizadas por projetos e instituições de finanças descentralizadas (DeFi) para gerenciar seus tesouros de ativos digitais. Este tipo de carteira permite adicione módulos externos que ampliam suas funções; um desses módulos é o Squid Router.
Segundo a Blockaid, a suspeita de vulnerabilidade está na função que este módulo utiliza para executar trocas dentro da mesma rede. O invasor teria implantado seus próprios contratos que exploraram essa vulnerabilidade para solicitar trocas de cada carteira afetada.
Os tokens reais das vítimas foram trocados por um token sem valor real criado pelo próprio atacante, através de pools de liquidez que ele havia configurado previamente no Uniswap V3 (um dos principais protocolos de exchanges descentralizadas do Ethereum). Concluído o esvaziamento, ele retirou esses fundos de liquidez e converteu tudo o que obteve em 3,07 milhões de DAI, uma stablecoin atrelada ao valor do dólar norte-americano.
Rahul Rumalla, CEO da Safe, esclareceu em X que As carteiras afetadas não funcionavam no produto oficial Safe Wallet. “Não sei exatamente onde essas contas foram criadas e operadas”, escreveu ele.
Rumalla acrescentou que o módulo Squid Router envolvido já havia sido sinalizado como malicioso pelo Blockaid dentro do sistema de alerta Safe Shield, que identifica módulos e extensões não oficiais de terceiros como fatores de risco. «Na Safe Wallet, esses riscos são relatados através do Safe Shield. Módulos e guardas não oficiais e de terceiros são identificados como riscos”, indicou.
O relatório da Blockaid não confirma se a exploração foi interrompida ou se o vetor ainda estava ativo no momento da sua publicação. Também não há nenhuma declaração do Squid Router que corrobore a vulnerabilidade ou a quantidade afetada.
Assim, fica claro pela exploração que o uso de uma carteira com múltiplas assinaturas não elimina completamente o risco de perda de fundos. Quando essa carteira tem módulos externos habilitados (integrações de terceiros que ampliam suas funções), cada um desses módulos representa uma rota de entrada adicional para um invasor.
Neste caso, a exploração não teve como alvo as chaves dos proprietários da carteira, mas sim o módulo que eles instalaram: uma distinção que muda onde a atenção deve ser focada ao avaliar a segurança de uma carteira.
