SquidがGnosis Safeモジュールの300万ドルのエクスプロイトからブランドを切り離すために急ぐ

Squidは、EthereumとBase上の86のウォレットが2時間以内に流出した後、最近の300万ドルのエクスプロイトがコアのクロスチェーンルーティングコントラクトではなく、SquidRouterModuleと呼ばれる第三者のGnosis Safeモジュールを標的にしたものであると、迅速に強調する声明を出した。

オンチェーンセキュリティ会社のBlockaidによると、攻撃はEthereumとBase上にデプロイされたSquidRouterModuleというGnosis Safeモジュールに集中しており、このモジュールは一部のマルチシグオーナーがSquidや他のプロトコルに関わるクロスチェーントランザクションをルーティングするために使用していた。

Blockaidは、攻撃者が約2時間で86のGnosis Safeウォレットから資金を抜き取り、総損失は約300万ドルから320万ドルに上り、その後307万DAIをわずかに超える単一のアドレスに集約したと報告した。

詳細なまとめの中で、KuCoinのニュースデスクはBlockaidとSquidの情報として、盗まれたトークンは攻撃者が設置したカスタムUniswap V3プールを通じてDAIにトークンスワップされ、その後流出した資金を1つのウォレットに集めてマネーロンダリングを簡略化したと伝えている。

コアとなるバグはSquidRouterModuleの「メッセージセキュリティ」ロジックの内部にあった。バイナンス Squareの報道によると、このモジュールは呼び出し元が提供する定数文字列をメッセージが有効であることの証明として単純に受け入れており、コントラクトコードを見ることができる誰でもその文字列をコピーして任意のコールデータを渡すことができた。

CoinNessは、攻撃者がこの公開された固定文字列の検証を悪用して、影響を受けたSafeから任意の呼び出しを実行し、オーナーの確認なしにマルチシグから資産を移動させる権限を事実上自らに与えたと報告している。

SquidRouterModuleのエクスプロイトはいかにして86のGnosis Safeを流出させたのか？

バイナンスのインシデントノートはそれを率直に説明しており、その設計が「メッセージセキュリティのために呼び出し元が提供する固定文字列を受け入れた」ものであり、これが実質的な認証を排除し、統合されたウォレットから資金を流出させる直接的な経路を開いたパターンだと述べている。

これはGnosis Safeモジュールにとって既知のリスクの分類であり、OpenZeppelinによる以前の研究でも、内部チェックが弱いか設定ミスがある場合、接続されたモジュールはオーナーの承認なしにウォレットからトランザクションを実行できることが示されていた。

今回のケースでは、安全でないモジュールにはSquidの名前がブランド付けされていたが、開発およびデプロイを行ったのはSquidチームやコアプロトコルのメンテナーではなく、第三者のインテグレーターだった。

なぜSquidはコアルーターをハッキングから切り離そうとしているのか？

公式Xの投稿でSquidは、「このインシデントはSquidのコアプロトコルおよびコントラクトとは無関係である」と述べ、オンチェーンで0xce16F69375520ab01377ce7B88f5BA8C48F8D666として識別されるメインのルーティングコントラクトは「悪意のあるトランザクションには一切関与していない」と強調した。

KuCoinの記事では、Squidがこう明確にしたことを指摘している。SquidRouterModuleは「自社が開発、デプロイ、運営したものではなく、名称はSquidと統合する際に第三者が独自に選択したものであり」、コアルーターのアーキテクチャの完全に外側に位置すると説明した。

チームはさらに、ユーザーの資金、既存の承認、プロトコルレベルの統合は安全であり、「Squidのコアクロスチェーンルーティングは影響を受けていない」と強調しながら、状況の監視とセキュリティ会社との連携を継続していると述べた。

それにもかかわらず、外部からの印象は悪い。KuCoinの記事が指摘するように、爆発範囲がずさんなSafeモジュールに限定されているにもかかわらず、そのプロジェクトとの唯一の実質的なつながりがブランディングとSquidを複数の統合ルーターの一つとして使用していることだけであっても、見出しには必然的に「Squid」と「ハック」が並んでしまう。

セキュリティ研究者たちは長い間、Gnosis Safeの強みには注意点があると警告してきた。Safeに接続されたモジュールは、そのロジックに欠陥があればオーナーの確認なしにトランザクションを実行できるというものであり、今回まさに固定文字列チェックが回避されたことでそれが現実になった。

より広範なクロスチェーンおよびウォレット拡張エコシステムにとって、SquidRouterModuleのインシデントは、コンポーザビリティに加えて周辺モジュールにおける不十分なセキュリティ前提が、プロトコル自身のコントラクトや監査の完全に外側にある攻撃対象領域を開く可能性があることを示す、具体的な事例のひとつである。

また、Axelarが「単一のSDKを通じてクロスチェーンの流動性ルーティングとスワップを可能にするプロトコル」と説明するSquidのようなインフラチームにとっての厳しい現実も浮き彫りにしている。自社のコントラクトが健全であっても、第三者のラッパーが基本的なセキュリティ衛生に失敗すれば、ブランドをエクスプロイトの見出しに引き込まれてしまう可能性がある。