Exploit im SquidRouterModule: Rund 3,2 Mio. US-Dollar aus Gnosis-Safe-Wallets abgezogen
Über eine Schwachstelle im sogenannten SquidRouterModule hat ein Angreifer rund 3,2 Mio. US-Dollar aus 86 Gnosis-Safe-Wallets auf Ethereum und Base abgezogen. Der Vorfall spielte sich innerhalb von etwa zwei Stunden ab. Das Blockchain-Sicherheitsunternehmen Blockaid identifizierte den Angriff am 25. Mai.
Nach dem Abfluss wurden die Gelder zügig über vom Angreifer eröffnete Uniswap-V3-Pools in DAI getauscht. So wurden laut den vorliegenden Daten rund 3,07 Mio. US-Dollar in einer einzigen Wallet gebündelt. Die Empfängeradresse wird als 0xa447…54859 angegeben. Die Erstfinanzierung des Angreifers soll aus Tornado Cash stammen.
Blockaid und PeckShield führen den Angriff auf eine unzureichende Identitätsprüfung im Modul zurück. Demnach wurde nicht korrekt verifiziert, wer das Modul tatsächlich aufruft. Der Angreifer soll vom Aufrufer übergebene Strings eingeschleust haben, um autorisierte Nutzer zu imitieren und Transaktionen ohne Zustimmung der Wallet-Inhaber ausführen zu lassen.
Zu den im Zusammenhang mit dem Angriff genannten Assets zählen USDC, ENA und USDT. Nach der Entnahme wurden die Bestände über Uniswap V3 in DAI konvertiert.
Squid betonte, das SquidRouterModule sei nicht Teil des Kernprotokolls und der zugrunde liegenden Squid-Contracts, sondern ein unabhängiges Drittanbieter-Add-on. Die Kerninfrastruktur sei nicht betroffen.
Der Vorfall unterstreicht ein bekanntes DeFi-Risiko: Drittmodule können in modularen Wallet-Architekturen unautorisierte Aktionen ermöglichen, wenn die Zugriffskontrollen fehlerhaft sind. Dass das SquidRouterModule auf Basescan verifiziert war, verleiht zwar den Anschein von Legitimität, bedeutet aber lediglich, dass der Quellcode öffentlich einsehbar ist – nicht, dass er auditiert, umfassend getestet oder frei von kritischen Fehlern ist.
Für Nutzer und Investoren ist die unmittelbare Konsequenz klar: Wer eine Gnosis-Safe-Wallet mit aktivierten Berechtigungen für das SquidRouterModule nutzt, sollte diese Zugriffe umgehend widerrufen. Grundsätzlich kann jede Wallet gefährdet sein, die dem Modul Rechte eingeräumt hat, auch wenn sie in diesem Angriff nicht direkt betroffen war.
Die Kombination aus Tornado Cash zur Anschubfinanzierung und Uniswap-V3-Pools zur schnellen Umwandlung verdeutlicht zudem, wie schwer Echtzeitreaktionen im DeFi-Umfeld bleiben. Sobald Mittel über Mixing-Dienste laufen, sinken die Chancen auf Rückführung deutlich. Die Bündelung in DAI erleichtert zudem eine spätere Weiterbewegung oder das Bridging der Erlöse.
