3,200,000 доларів за урок: інтегратор пише код і сміливо використовує константи для перевірки, справді сміливий

Марсіанські фінансові новини, Squid опублікував повідомлення на платформі X, що ця подія не має відношення до основного протоколу та контрактів Squid, всі користувачі та інтегратори Squid залишаються незатронутими, діяти не потрібно. Базовий та мережа Ethereum були атаковані через сторонній модуль Gnosis Safe, що призвело до втрат приблизно 3,2 мільйона доларів. Уразливий контракт має назву “SquidRouterModule” на Basescan, але цей контракт не був створений, розгорнутий або керований Squid, а є стороннім продуктом гаманця, що інтегрує Squid та інші протоколи, і не має зв’язку з Squid. Принцип атаки полягає в тому, що цей сторонній модуль приймає константний рядок, наданий викликом, як підтвердження безпеки повідомлення, цей рядок є відкрито доступним у перевіреному коді контракту, і після введення його атакуючим, відбувається...