Exploit onttrekt $7.8 miljoen aan rsETH uit de veilige wallet van een gebruiker via een gecompromitteerde strategie-uitvoerder.
Blockchain-beveiligingsbedrijven Blokkeerhulp, PeckSchilden BlokSec hebben een beveiligingslek bevestigd waarbij ongeveer $7.8 miljoen aan rsETH, zo'n 2,900 tokens, is gestolen uit een Gnosis Safe-wallet op Ethereum. Het incident begon om 04:38 UTC met een transactie waarbij het grootste deel van het geld werd overgemaakt, gevolgd door verschillende kleinere transacties in het daaropvolgende uur, goed voor nog eens ongeveer $160,000, aldus de bedrijven.
De hoofdoorzaak was een gebrekkige autorisatiecontrole in het uitvoeringscontract, door analisten geïdentificeerd als adres 0x4f0055926c839D1d960a82CBF84E2eE933958ebC.
De betreffende Safe, eigendom van een grote houder van rsETH met hefboomwerking, maakte gebruik van een whitelisted strategie-executormodule die een recept-ingangspunt beschikbaar stelde. Dit ingangspunt stuurde alle door de aanroeper aangeleverde calldata door naar de execTransactionFromModuleReturnData-functie van de Safe met operation=1 (DELEGATECALL), zonder de externe aanroeper te blokkeren. Het instellen van de aangeleverde contractparameter op het eigen adres van de executor doorstond de validatie, wat betekende dat iedereen die het ingangspunt kon bereiken, willekeurige code kon uitvoeren binnen de context van de Safe zelf – en daarmee in feite volledige controle over de activa kon verkrijgen.
De aanvaller gebruikte een public keeper multicall om de geautoriseerde Uni V4 LP Safe-module naar een door de aanvaller gecreëerde gehookte Uniswap V4-pool te routeren, waarbij de uitvoering plaatsvond via Permit2 en de PositionManager. De aanvaller had een waardeloos token, genaamd de "Permissionless Attacker Token" (PAT), ingezet en ongeveer 2,900 aEthrsETH als liquiditeit daarvoor beschikbaar gesteld. Een aangepaste hook in de pool zette de aEthrsETH om in rsETH en onttrok dit aan de Safe, die vervolgens een waardeloos LP-token bevatte. NFT.
MEV Bot Front-Runs Attack; KelpDAO Actes Temporary Pause
Opmerkelijk is dat de oorspronkelijke aanvalstransactie de beoogde begunstigde nooit bereikte. De aanvaller lanceerde de exploit rechtstreeks in de openbare mempool, waar deze werd afgescheept door een MEV-bot genaamd "yoink". Deze bot onderschepte de volledige ~2,882 rsETH – ter waarde van ongeveer $7.8 miljoen – en routeerde deze naar adres 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. In feite ging een bot die maximale extracteerbare waarde nastreefde, en niet de aanvaller, er met de gestolen fondsen vandoor.
Als reactie hierop kondigde KelpDAO aan dat er verdachte activiteit op het ontvangende adres was gedetecteerd en dat dit adres uit voorzorg 24 uur was gepauzeerd. Gedurende deze periode kan er geen rsETH worden overgemaakt. Het team verklaarde dat het samenwerkt met beveiligingsexperts aan het onderzoek en benadrukte dat de maatregel alleen op walletniveau geldt: Kelp-contracten blijven veilig, rsETH blijft volledig gedekt en alle minting-, opname- en integratieprocessen verlopen normaal, zonder dat gebruikers actie hoeven te ondernemen.
Beveiligingsanalisten benadrukten dat het hier ging om misbruik van moduleautorisatie specifiek voor één Safe-applicatie, en niet om een kwetsbaarheid in de kerncontracten of eigenaarssleutels van Safe. Het incident onderstreept niettemin een aanhoudend risico voor gebruikers van smart contract wallets: de kern van Safe is nooit direct het doelwit geweest van een protocol-exploit, maar gebruikers hebben herhaaldelijk geld verloren door gecompromitteerde infrastructuur en kwetsbare extensies van derden, waaronder meer dan 2 miljoen dollar gestolen bij adresvergiftigingsaanvallen die in 2023 21 Safe-gebruikers troffen.
Disclaimer
In lijn met de Richtlijnen voor vertrouwensprojectenHoud er rekening mee dat de informatie op deze pagina niet bedoeld is en niet mag worden geïnterpreteerd als juridisch, fiscaal, beleggings-, financieel of enige andere vorm van advies. Het is belangrijk om alleen te beleggen wat u zich kunt veroorloven te verliezen en onafhankelijk financieel advies in te winnen als u twijfels heeft. Voor meer informatie raden wij u aan de algemene voorwaarden en de hulp- en ondersteuningspagina's van de uitgever of adverteerder te raadplegen. MetaversePost streeft naar nauwkeurige, onpartijdige berichtgeving, maar de marktomstandigheden kunnen zonder voorafgaande kennisgeving worden gewijzigd.
Over de auteur
Alisa, een toegewijd journalist bij de MPostis gespecialiseerd in crypto, AI, investeringen en het brede domein van Web3. Met een scherp oog voor opkomende trends en technologieën levert ze uitgebreide berichtgeving om lezers te informeren en te betrekken bij het steeds evoluerende landschap van digitale financiën.
Meer artikelen
Alisa, een toegewijd journalist bij de MPostis gespecialiseerd in crypto, AI, investeringen en het brede domein van Web3. Met een scherp oog voor opkomende trends en technologieën levert ze uitgebreide berichtgeving om lezers te informeren en te betrekken bij het steeds evoluerende landschap van digitale financiën.
