3.2 millones de dólares para una lección: el integrador escribe código y se atreve a usar constantes como validación, realmente tiene mucho valor

Mars Finance informa que Squid publicó en la plataforma X que este incidente no está relacionado con el protocolo central de Squid ni con los contratos, y que todos los usuarios e integradores de Squid no han sido afectados y no necesitan tomar ninguna acción. Un módulo de Gnosis Safe de terceros en la red Base y Ethereum fue atacado, con una pérdida de aproximadamente 3.2 millones de dólares. El contrato vulnerable fue verificado en Basescan con el nombre “SquidRouterModule”, pero dicho contrato no fue construido, desplegado ni operado por Squid, sino que es un producto de billetera inteligente de terceros que integra Squid y otros protocolos, y no tiene relación con Squid. La vulnerabilidad consiste en que dicho módulo de terceros acepta como prueba de seguridad del mensaje una cadena constante proporcionada por el llamador, la cual es visible públicamente en el código del contrato verificado, y tras que el atacante ingresa esta cadena,