3,200,000 dolar untuk pelajaran: pihak integrator berani menggunakan konstanta sebagai verifikasi saat menulis kode, benar-benar berani

Berita dari Mars Finance, Squid mengumumkan di platform X bahwa insiden ini tidak terkait dengan protokol inti dan kontrak Squid, semua pengguna dan integrator Squid tidak terpengaruh dan tidak perlu mengambil tindakan apa pun. Sebuah modul Gnosis Safe pihak ketiga di jaringan Base dan Ethereum diserang, dengan kerugian sekitar 3,2 juta dolar AS. Kontrak kerentanan ini diverifikasi di Basescan dengan nama "SquidRouterModule", tetapi kontrak tersebut bukan dibuat, dideploy, atau dioperasikan oleh Squid, melainkan merupakan produk dompet pintar pihak ketiga yang memilih untuk mengintegrasikan Squid dan protokol lain, dan tidak memiliki hubungan dengan Squid. Prinsip serangan adalah modul pihak ketiga tersebut menerima string konstan yang diberikan oleh pemanggil sebagai bukti keamanan pesan, string ini dapat dilihat secara terbuka dalam kode kontrak yang telah diverifikasi, setelah penyerang memasukkan, maka