Korisnici Gnosis Safe novčanika pogođeni exploitom od oko 3 miliona dolara povezanim sa lažnim tokenom

Korisnici Gnosis Safe novčanika našli su se na meti novog exploit napada u kojem je ukradeno oko 3 miliona dolara. Napad je pogodio 86 Safe novčanika na Ethereum i Base mrežama, a prema dostupnim informacijama, izveden je kroz ranjivi treći modul poznat kao SquidRouterModule.

Ovaj incident je posebno važan zato što nije reč o klasičnom napadu na običan pojedinačni novčanik, već o zloupotrebi modula koji je bio dodat u Safe naloge kao poverljiva ekstenzija. Kada korisnik ili tim doda takav modul u Safe, on može dobiti ovlašćenje da izvršava određene radnje bez standardnog potpisivanja svake pojedinačne transakcije.

Napadači su iskoristili upravo tu slabost. Prema analizi sigurnosne firme Blockaid, ranjivost je bila povezana sa funkcijom executeSameChainActions(). Ta funkcija je omogućila neovlašćeno izvršavanje radnji unutar Safe naloga, pa su napadači mogli da se ponašaju kao odobreni delegati i da pokreću transakcije kao da su legitimni korisnici.

Napad je trajao oko dva sata, ali je za to vreme uspeo da pogodi veliki broj novčanika. Ukupno je ispražnjeno 86 Gnosis Safe naloga na Ethereum i Base mrežama. Sredstva su zatim brzo prebačena i konvertovana, što pokazuje da je napad bio pripremljen i automatizovan.

Jedan od najzanimljivijih delova napada bio je korišćenje lažnog tokena pod nazivom “u”. Napadači su kreirali ovaj token sa velikom ponudom i koristili ga samo za potrebe exploita. Token je zatim bio uparen sa stvarnim sredstvima u unapred finansiranim Uniswap V3 poolovima koje su kontrolisali napadači.

Kroz takvu strukturu napadači su mogli da izvlače sredstva iz pogođenih Safe novčanika i da ih menjaju kroz sopstvene poolove. Nakon što su sredstva izvučena, uklonili su likvidnost i završili konverziju u stablecoin. Ukradena imovina je na kraju uglavnom pretvorena u DAI.

Prema on-chain podacima, oko 3,07 miliona DAI završilo je u glavnom konsolidacionom novčaniku koji je služio kao centralna adresa za prikupljanje ukradenih sredstava. To znači da napadači nisu samo nasumično prebacivali tokene, već su imali jasan tok: drain iz Safe naloga, zamena kroz kontrolisane poolove, konverzija u DAI i konsolidacija.

Ovaj slučaj pokazuje koliko kompleksni DeFi napadi mogu biti. Na prvi pogled može izgledati kao obična krađa tokena, ali u pozadini se kombinuju ranjivi moduli, lažni tokeni, delegirane dozvole, Uniswap V3 likvidnost i brza konsolidacija sredstava. Takvi napadi često su teški za obične korisnike da razumeju, ali posledice su veoma konkretne.

Važno je naglasiti da Squid tim tvrdi da ovaj incident nije povezan sa njihovim zvaničnim protokolom i zvaničnim ugovorima. Prema njihovom objašnjenju, ranjivi SquidRouterModule nije bio deo njihovog core sistema, nije ga izgradio, deployovao niti operativno vodio njihov tim. Problem je, prema njima, nastao zbog trećeg Safe modula koji je koristio slično ime i time mogao stvoriti zabunu.

Squid je takođe naveo da su zvanični Squid korisnici i integratori bezbedni i da ne moraju preduzimati dodatne korake zbog ovog incidenta. Njihov zvanični router ugovor nije bio uključen u napad. Ipak, sama činjenica da je ranjivi modul imao naziv koji podseća na Squid pokazuje koliko je važno proveravati tačno poreklo i adresu svakog ugovora koji se dodaje u Safe.

Jedan od ključnih problema bio je način autorizacije u ranjivom modulu. Prema objašnjenju, modul je prihvatao konstantni string koji je mogao biti prosleđen od strane pozivaoca kao dokaz autorizacije. Pošto je taj string bio vidljiv u kodu ugovora, napadači su mogli da ga iskoriste i zaobiđu očekivani sigurnosni model.

To znači da ranjivost nije bila u samom Safe konceptu kao takvom, već u dodatnom modulu koji je dobio poverenje unutar Safe naloga. Kada se takav modul doda, Safe može dozvoliti izvršavanje transakcija bez uobičajenog procesa potpisivanja, jer modul funkcioniše kao unapred odobreni mehanizam.

Ovo je veoma važna lekcija za timove koji koriste multisig novčanike. Gnosis Safe, odnosno Safe, sam po sebi često se koristi kao ozbiljno rešenje za upravljanje sredstvima timova, DAO organizacija i protokola. Međutim, sigurnost Safe naloga ne zavisi samo od broja potpisnika, već i od svih dodatih modula, ekstenzija i dozvola.

Ako se u Safe doda zlonameran ili ranjiv modul, multisig zaštita može biti zaobiđena. To znači da tim može imati tri, pet ili više potpisnika, ali ako modul ima preširoke dozvole, napadač može pronaći način da izvrši transakciju bez standardne multisig potvrde.

Ovaj incident zato pokazuje da “trusted module” zaista mora biti tretiran kao veoma osetljiva komponenta. Dodavanje modula u Safe nije isto što i povezivanje obične aplikacije. Modul može imati dubok pristup i ozbiljne izvršne mogućnosti. Zato svaka takva integracija mora proći sigurnosnu proveru, audit i pažljivo razumevanje koda.

Za timove koji koriste Safe na Ethereum i Base mrežama, najvažniji korak je provera aktivnih modula. Potrebno je pregledati koje ekstenzije su dodate u Safe, da li su zaista potrebne, ko ih je napravio, da li su auditovane i da li imaju poznate sigurnosne rizike. Nepoznate ili nepotrebne module treba ukloniti.

Korisnici takođe treba da provere istoriju transakcija i dozvola. Ako Safe koristi modul koji tim ne prepoznaje ili ne može da potvrdi kao zvaničan i bezbedan, sredstva bi trebalo što pre prebaciti na sigurniji nalog ili ukloniti ranjivu komponentu pre nastavka korišćenja.

Ovaj napad je još jedan primer šireg problema u kripto industriji: mnogi gubici ne nastaju zato što je osnovni blockchain hakovan, već zato što dodatni slojevi, integracije ili dozvole imaju propuste. Ethereum i Base su nastavili da rade normalno, ali ranjiv modul je omogućio napadačima da zloupotrebe Safe naloge koji su mu dali poverenje.

DeFi ekosistem se oslanja na povezivanje različitih protokola, modula i pametnih ugovora. Ta kompozabilnost je jedna od najvećih prednosti blockchaina, jer omogućava brzo građenje novih proizvoda. Ali ista ta kompozabilnost stvara i dodatni rizik: ako jedan deo lanca poverenja ima propust, posledice se mogu proširiti na korisnike koji su ga integrisali.

Korišćenje lažnog tokena i kontrolisanih Uniswap V3 poolova pokazuje i koliko napadači umeju da koriste legitimnu DeFi infrastrukturu za prikrivanje toka sredstava. Uniswap V3 kao protokol nije morao biti kompromitovan da bi bio zloupotrebljen. Napadači su jednostavno koristili mehanizme likvidnosti i swapova za sprovođenje svoje šeme.

To je važna razlika. Mnogi incidenti ne znače da je poznati DeFi protokol hakovan, već da su napadači iskoristili njegovu otvorenu infrastrukturu na zlonameran način. U otvorenim sistemima svako može kreirati token, pool ili ugovor, pa korisnici moraju dodatno proveravati šta tačno koriste.

Šira slika pokazuje da exploit napadi i dalje ostaju jedan od najvećih rizika za kripto sektor. Posebno su ranjivi sistemi koji uključuju cross-chain infrastrukturu, bridge mehanizme, module sa delegiranim dozvolama i automatizovane izvršne funkcije. U takvim okruženjima mala greška u autorizaciji može dovesti do velikog gubitka.

Za industriju, ovaj napad je signal da se sigurnost ne sme posmatrati samo na nivou glavnog ugovora. Potrebno je proveravati pomoćne module, integracije, adaptere, routere, permission sisteme i sve komponente koje mogu izvršavati transakcije u ime korisnika.

Za obične korisnike, lekcija je jednostavnija: ne treba slepo verovati nazivu ugovora ili modula. Ako nešto nosi ime koje liči na poznati protokol, to ne znači da je zaista deo tog protokola. Uvek treba proveriti zvanične adrese, dokumentaciju i upozorenja samog projekta.

Za DAO timove i trezore, preporuka je da se uvede redovna revizija Safe konfiguracije. To znači periodičnu proveru potpisnika, modula, spending limita, delegiranih prava i povezanih aplikacija. Multisig novčanik nije “podesi jednom i zaboravi” alat, već mora stalno da se održava.

Zaključak je da je exploit nad Gnosis Safe korisnicima od oko 3 miliona dolara nastao zbog ranjivog trećeg modula, a ne zbog direktnog kompromitovanja samog Safe sistema ili zvaničnog Squid protokola. Napadači su iskoristili slabost u autorizaciji, predstavili se kao odobreni delegati, izvukli sredstva iz 86 Safe novčanika i konvertovali ih u DAI kroz lažne tokene i kontrolisane Uniswap V3 poolove.

Ovaj incident još jednom pokazuje da u kriptu najveći rizik često dolazi iz sloja dozvola i integracija. Čak i siguran multisig može postati ranjiv ako mu se doda neproveren modul sa prevelikim ovlašćenjima. Zato svaki projekat koji upravlja većim sredstvima mora pažljivo proveravati ne samo ko potpisuje transakcije, već i koji pametni ugovori imaju pravo da ih izvršavaju.