- BaseおよびEthereum上の86のGnosis Safesから、脆弱なサードパーティ製SquidRouterModuleコントラクトを介して2時間以内に320万ドルが流出。
- 被害者は以前、このモジュールをホワイトリストに登録しており、攻撃者（TornadoCash経由で資金提供）は任意の呼び出しを実行し、すべての資産を約$300万ドル相当のDAIにスワップすることができました。
- Squidチームは距離を置き、悪用された契約はコアプロトコルとは無関係であると確認しました。
2026年5月25日に発行されたセキュリティ警告によると、約320万ドルがわずか2時間で86のGnosis Safesから吸い上げられました。これはBaseおよびEthereumブロックチェーンネットワークを介して行われました。この脆弱性は「SquidRouterModule」と呼ばれるスマートコントラクトを悪用しました。その名が公式のSquid Routerネットワークに似ていたため、暗号通貨コミュニティに瞬時の混乱を引き起こしました。
報告によると、盗まれた資金は攻撃者が制御するUniswap V3プールを介して、約300万ドルのDAIトークンに即座に変換されました。ハッカーは以前TornadoCashを介して2.1 ETHを送信されたウォレットアドレス 0xA447…54859を使用しました。
86 のGnosis safesが新しいハックの対象に
Security firms such as PeckShield およびBlockaidが最初にこの悪用を検出しました。PeckShieldのレポートでは、SquidRouterModuleの悪用に関する詳細と、資金の実際の流れが提供されました。これにはTornadoCashの使用だけでなく、すべてのトークンをDAIに交換することも含まれていました。
#PeckShieldAlert SquidRouterModuleは約3Mドルの資産に対して悪用されました。
元々 2.1 $ETH を #TornadoCash, で資金提供された悪用者は、盗まれた資金を約3Mドルの $DAI. 盗まれた資産は現在、攻撃者のウォレット 0xA447…54859 に保管されています pic.twitter.com/RAmpIZQhQh— PeckShieldAlert (@PeckShieldAlert) 5月 25日、 2026
レポートにおいて、Blockaidは86のGnosis Safesが2時間未満で悪用され、すべてのトークンが攻撃者が制御する 流動性プール , を使用して交換されたと言及しました。以前、ユーザーはこれらのコントラクトをGnosis Safes内で昇格された権限で承認しており、ユーザーの署名は必要ありませんでした。
根本原因は、サードパーティのGnosis Safeモジュール自体の設計にあります。Basescanによって監査され、SquidRouterModuleと名付けられたこのコントラクトは、メッセージのセキュリティの証明として呼び出し元から提供された不変の文字列を受け入れます。
この文字列は公開されたソースコードで明確に表示されていたため、すべてのセキュリティ対策を回避することが可能になりました。文字列の提供後、モジュールは配列内で提供されたcalldataの実行を許可しました。
モジュールが被害者によってすでに正当なSafe Moduleとしてホワイトリストに登録されていたという事実により、攻撃者はトークンの種類に関係なくGnosis Safesから資金を引き出すことができました。正当なSquid Routerコントラクト（0xce16F69375520ab01377ce7B88f5BA8C48F8D666）は完全に異なるアーキテクチャを使用しており、この攻撃の影響を受けていません。
Squid Router、ハック事件から距離を置く
Squid Routerの公式 X , アカウントは記録を正すために時間をかけませんでした。声明において、同社は悪用されたコントラクトがSquidによって構築、デプロイ、または管理されていないことを明確にしました。これは、Squidや他のプロジェクトと統合することを決定した別のサードパーティによってスマートウォレットとして識別されましたが、Squidチームに連絡したことはありませんでした。
チームは、この事件に関連してコアSquidプロトコルやそのコントラクトに何の関係もないと説明しました。さらに、すべてのSquidユーザーや統合者が影響を受けているわけではありません。さらに、Squidは、Basescanで利用可能な悪用されたコントラクトの名前のみに基づいて、初期の公開情報がSquidRouterを誤って参照する可能性があることを強調しました。
BinanceのCZ、ハック問題の修正を開発者に呼びかけ
サプライチェーンにおける暗号通貨空間の脆弱性が増していることを明確に示すものとして、Binanceの創設者であるChangpeng Zhao（通称CZ）は、GitHubのデータ侵害後、開発者にAPIキーを交換するよう呼びかけました。
報道によると Cryptopolitan、 CZは、ユーザーがコード（プライベートリポジトリを含む）にAPIキーを持っている場合、今こそ確認し変更する時だと促しました。これは、侵害が発生した場合に露出したAPIキーが、取引ボット、DeFiプロトコル、分析プラットフォーム、およびその他の関連サービスに使用されるリスクがあるためです。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
Florence Muchai
フローレンスは過去6年間、暗号資産、ゲーム、テクノロジー、AIに関するニュースを報道してきました。メルウ科学技術大学でのコンピュータ学およびMMUSTでの災害管理と国際外交の学習により、言語能力、観察力、技術スキルを十分に備えています。フローレンスはVAPグループで勤務し、複数の暗号資産メディアハウスで編集者として活躍しました。
