3,200,000 долларов за урок: интегратор пишет код и осмеливается использовать константы для проверки, действительно смелый

Марсианские финансы сообщают, что Squid опубликовал на платформе X заявление о том, что данный инцидент не связан с ядром протокола Squid и контрактами, все пользователи и интеграторы Squid не пострадали и не требуется никаких действий. В сети Base и Ethereum был атакован сторонний модуль Gnosis Safe, потеря составила около 3,2 миллиона долларов. Этот уязвимый контракт проверен на Basescan под названием “SquidRouterModule”, но этот контракт не был создан, развернут или управляем Squid, а является сторонним продуктом умного кошелька, который интегрирует Squid и другие протоколы, и не связан с Squid. Принцип атаки заключается в том, что сторонний модуль принимает в качестве доказательства безопасности сообщения постоянной строки, предоставленной вызывающим, которая открыто видна в проверенном коде контракта; после ввода злоумышленником эта строка…