3,2 milioni di dollari drenati da Gnosis Safes nell'attacco a SquidRouterModule su Base ed Ethereum
- 3,2 milioni di dollari drenati da 86 Gnosis Safes su Base ed Ethereum in meno di 2 ore tramite un contratto SquidRouterModule di terze parti vulnerabile.
- Le vittime avevano precedentemente inserito il modulo nella whitelist, permettendo all'attaccante (finanziato tramite TornadoCash) di eseguire chiamate arbitrarie e scambiare tutto in circa $3M DAI.
- Il team di Squid si è distanziato dall'accaduto, confermando che il contratto sfruttato non ha alcuna connessione con il suo protocollo principale.
Gli avvisi di sicurezza emessi il 25 maggio 2026 indicano che circa 3,2 milioni di dollari sono stati sottratti da 86 Gnosis Safes in sole due ore. Questo è avvenuto attraverso le reti blockchain di Base ed Ethereum. La vulnerabilità ha sfruttato un contratto intelligente chiamato "SquidRouterModule". Ha causato immediata confusione nella comunità crypto a causa del suo nome simile alla rete ufficiale Squid Router.
Secondo i rapporti, i fondi rubati sono stati convertiti istantaneamente in circa 3 milioni di dollari in token DAI tramite pool Uniswap V3 controllati dall'attaccante. L'hacker ha utilizzato l'indirizzo del portafoglio 0xA447…54859, che era stato precedentemente inviato 2,1 ETH tramite TornadoCash.
86 Gnosis Safes prese di mira in un nuovo attacco
Società di sicurezza come PeckShield e Blockaid sono state le prime a rilevare questa exploit. Nella relazione di PeckShield sono stati forniti i dettagli dell'exploit di SquidRouterModule, insieme al flusso effettivo dei fondi. Questo includeva non solo l'uso di TornadoCash, ma anche lo scambio di tutti i token in DAI.
#PeckShieldAlert Il SquidRouterModule è stato sfruttato per ~3 milioni di dollari in attività.
L'attaccante, originariamente finanziato con 2.1 $ETH dal #TornadoCash, ha scambiato i fondi rubati per ~3 milioni di $DAI. Le risorse rubate sono attualmente ferme nel portafoglio dell'exploiter 0xA447…54859 pic.twitter.com/RAmpIZQhQh— PeckShieldAlert (@PeckShieldAlert) Maggio 25, 2026
Nella sua relazione, Blockaid ha menzionato che 86 Gnosis Safes sono stati sfruttati in meno di due ore, e tutti i token sono stati scambiati utilizzando pool di liquidità controllati dall'attaccante. In precedenza, gli utenti avevano autorizzato questi contratti all'interno dei loro Gnosis Safes con privilegi elevati, senza richiedere firme utente.
La causa radice risiede nel design del modulo Gnosis Safe di terze parti stesso. Il contratto, verificato da Basescan e denominato SquidRouterModule, avrebbe accettato una stringa immutabile fornita dal chiamante come prova della sicurezza del messaggio.
Poiché questa stringa era chiaramente visibile nel codice sorgente disponibile pubblicamente, è diventato possibile bypassare tutte le misure di sicurezza. Dopo la fornitura della stringa, il modulo consentiva l'esecuzione dei calldata forniti all'interno di un array.
Il fatto che il modulo fosse già stato inserito nella whitelist come modulo Safe legittimo dalle vittime ha consentito all'attaccante di prelevare fondi dai Gnosis Safes indipendentemente dal tipo di token. Il contratto legittimo Squid Router (0xce16F69375520ab01377ce7B88f5BA8C48F8D666) utilizza un'architettura completamente diversa e non è stato interessato da questo attacco.
Squid Router si distanzia dall'incidente di attacco
L'account ufficiale di Squid Router X non ha impiegato molto tempo a chiarire la situazione. Nella sua dichiarazione, l'azienda ha chiarito che il contratto sfruttato non era stato creato, distribuito o gestito da Squid. È stato identificato come un portafoglio intelligente da un'altra terza parte che ha deciso di integrarsi con Squid e altri progetti, ma non ha mai contattato il team di Squid.
Il team ha spiegato che non c'era nulla a che fare con il protocollo Squid core o i suoi contratti riguardo a questo incidente. Inoltre, non tutti gli utenti e gli integratori di Squid sono interessati. Inoltre, Squid ha sottolineato che le informazioni pubbliche iniziali potrebbero erroneamente riferirsi a SquidRouter basandosi solo sul nome del contratto sfruttato disponibile su Basescan.
CZ di Binance invita gli sviluppatori a risolvere i problemi di attacco
Come chiara indicazione di quanto lo spazio crypto sia diventato sempre più vulnerabile nella sua catena di approvvigionamento, il fondatore di Binance, Changpeng Zhao (noto anche come CZ), ha invitato gli sviluppatori a scambiare le proprie chiavi API dopo una violazione dei dati su GitHub.
Come riportato da Cryptopolitan, CZ ha esortato che se gli utenti hanno chiavi API nel loro codice, anche nei repo privati, è il momento di verificare e cambiarle. Questo è dovuto al rischio di chiavi API esposte in caso di violazione, poiché potrebbero essere utilizzate da bot di trading, protocolli DeFi, piattaforme di analisi e altri servizi correlati.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Florence Muchai
Florence si occupa di notizie relative a criptovalute, gaming, tecnologia e AI da oltre 6 anni. I suoi studi in Informatica presso l'Università Meru di Scienze e Tecnologia e in Gestione delle Emergenze e Diplomazia Internazionale presso il MMUST le hanno fornito eccellenti competenze linguistiche, osservative e tecniche. Florence ha lavorato al VAP Group e come editor per diverse testate specializzate in criptovalute.
