3,200,000 dólares por uma lição: o integrador ousou usar constantes como validação ao escrever código, realmente corajoso

Notícias do Mars Finance, a Squid publicou na plataforma X que o incidente desta vez não está relacionado ao protocolo central e aos contratos da Squid, e que todos os usuários e integradores da Squid não foram afetados, não sendo necessário tomar nenhuma ação. Uma vulnerabilidade no módulo Gnosis Safe de terceiros na rede Base e Ethereum foi explorada, resultando em uma perda de aproximadamente 3,2 milhões de dólares. O contrato vulnerável foi verificado no Basescan com o nome “SquidRouterModule”, mas esse contrato não foi criado, implantado ou operado pela Squid, sendo um produto de carteira inteligente de terceiros que integra a Squid e outros protocolos, e não tem ligação com a Squid. O princípio do ataque consiste nesse módulo de terceiros aceitar uma string constante fornecida pelo chamador como prova de segurança da mensagem, essa string é publicamente visível no código do contrato verificado, e após o atacante inserir, então