3,2 milhões de dólares por uma lição: o integrador ousa usar constantes como validação ao escrever código, que coragem!

Notícias da Mars Finance, a Squid publicou na plataforma X que este incidente não está relacionado com o protocolo central da Squid nem com contratos, e que todos os utilizadores e integradores da Squid não foram afetados, não sendo necessário tomar qualquer ação. Uma falha no módulo Gnosis Safe de um terceiro na rede Base e Ethereum foi alvo de ataque, resultando numa perda de aproximadamente 3,2 milhões de dólares. O contrato vulnerável foi verificado na Basescan com o nome “SquidRouterModule”, mas esse contrato não foi construído, implantado ou operado pela Squid, sendo um produto de carteira inteligente de terceiros que integra a Squid e outros protocolos, e não tem ligação com a Squid. O método de ataque consiste nesse módulo de terceiros aceitar uma string constante fornecida pelo chamador como prova de segurança da mensagem, a qual é visível publicamente no código do contrato verificado, e após o atacante inserir essa string, então