Squid $3 मिलियन Gnosis Safe मॉड्यूल एक्सप्लॉइट से ब्रांड को अलग करने की जल्दी में

Squid ने तुरंत यह स्पष्ट करने की कोशिश की कि हाल ही में हुआ $3 मिलियन का एक्सप्लॉइट उसके मुख्य क्रॉस चेन रूटिंग कॉन्ट्रैक्ट्स को नहीं, बल्कि SquidRouterModule नामक एक थर्ड पार्टी Gnosis Safe मॉड्यूल को निशाना बनाकर किया गया था, जिसके बाद Ethereum और Base पर 86 वॉलेट दो घंटे से भी कम समय में खाली कर दिए गए।

ऑन चेन सिक्योरिटी फर्म Blockaid के अनुसार, यह हमला Ethereum और Base पर तैनात SquidRouterModule नामक एक Gnosis Safe मॉड्यूल पर केंद्रित था, जिसका उपयोग कुछ मल्टीसिग मालिकों द्वारा Squid और अन्य प्रोटोकॉल से जुड़े क्रॉस चेन ट्रांजैक्शन रूट करने के लिए किया जाता था।

Blockaid ने बताया कि लगभग दो घंटों में हमलावर ने 86 Gnosis Safe वॉलेट से फंड निकाले, जिसमें कुल नुकसान लगभग $3 मिलियन से $3.2 मिलियन रहा, और फिर आय को 3.07 मिलियन से अधिक DAI रखने वाले एक ही पते पर समेकित किया।

एक विस्तृत सारांश में, KuCoin की न्यूज़ डेस्क Blockaid और Squid के हवाले से बताती है कि चुराए गए टोकन को हमलावर द्वारा स्थापित एक कस्टम Uniswap V3 पूल के जरिए DAI में स्वैप किया गया, जिसने फिर मनी लॉन्ड्रिंग को आसान बनाने के लिए निकाले गए फंड को एक वॉलेट में एकत्रित किया।

मुख्य बग SquidRouterModule की "message security" लॉजिक में था: Binance Square की रिपोर्ट बताती है कि मॉड्यूल ने कॉलर द्वारा प्रदान की गई एक कॉन्स्टेंट स्ट्रिंग को यह प्रमाण मान लिया कि कोई संदेश वैध है, जिसका अर्थ था कि कोई भी जो कॉन्ट्रैक्ट कोड देख सकता था, वह स्ट्रिंग कॉपी करके मनमाना कॉल डेटा पास कर सकता था।

CoinNess की रिपोर्ट के अनुसार हमलावर ने इस सार्वजनिक फिक्स्ड स्ट्रिंग वेरिफिकेशन का फायदा उठाकर प्रभावित Safes से मनमाने कॉल निष्पादित किए, जिससे उन्हें मालिक की पुष्टि के बिना मल्टीसिग से संपत्ति निकालने की अनुमति मिल गई।

SquidRouterModule एक्सप्लॉइट ने 86 Gnosis Safes को कैसे खाली किया?

Binance के इंसिडेंट नोट में इसे सीधे शब्दों में वर्णित किया गया है, जिसमें कहा गया कि डिज़ाइन "message security के लिए कॉलर द्वारा प्रदान की गई एक फिक्स्ड स्ट्रिंग को स्वीकार करता था," यह एक ऐसा पैटर्न था जिसने किसी भी वास्तविक प्रमाणीकरण को समाप्त कर दिया और एकीकृत वॉलेट से फंड निकालने का सीधा रास्ता खोल दिया।

Gnosis Safe मॉड्यूल के लिए यह एक ज्ञात जोखिम वर्ग है, जैसा कि OpenZeppelin के पहले के शोध से पता चला था कि कोई भी संलग्न मॉड्यूल मालिक की स्वीकृति के बिना वॉलेट से ट्रांजैक्शन निष्पादित कर सकता है यदि उसकी आंतरिक जांच कमजोर या गलत तरीके से कॉन्फ़िगर की गई हो।

इस मामले में, असुरक्षित मॉड्यूल को Squid के नाम से ब्रांड किया गया था, लेकिन इसे Squid टीम या उसके मुख्य प्रोटोकॉल मेंटेनर्स द्वारा नहीं, बल्कि एक थर्ड पार्टी इंटीग्रेटर द्वारा विकसित और तैनात किया गया था।

Squid अपने मुख्य राउटर को हैक से क्यों अलग कर रहा है?

एक आधिकारिक X पोस्ट में, Squid ने कहा कि "यह घटना Squid के मुख्य प्रोटोकॉल और कॉन्ट्रैक्ट्स से असंबंधित है," और इस बात पर जोर दिया कि उसका मुख्य रूटिंग कॉन्ट्रैक्ट, जिसे ऑन चेन 0xce16F69375520ab01377ce7B88f5BA8C48F8D666 के रूप में पहचाना गया है, "किसी भी दुर्भावनापूर्ण ट्रांजैक्शन में शामिल नहीं था।"

KuCoin की रिपोर्ट में बताया गया है कि Squid ने स्पष्ट किया कि SquidRouterModule "न तो उनके द्वारा विकसित, तैनात और न ही संचालित किया गया था; यह नाम एक थर्ड पार्टी ने Squid के साथ एकीकरण करते समय स्वतंत्र रूप से चुना था," और यह मुख्य राउटर की आर्किटेक्चर से पूरी तरह बाहर है।

टीम ने आगे जोर देकर कहा कि यूजर्स के फंड, मौजूदा अप्रूवल और प्रोटोकॉल लेवल इंटीग्रेशन सुरक्षित हैं, और "Squid का मुख्य क्रॉस चेन रूटिंग अप्रभावित बना हुआ है," जबकि वह स्थिति की निगरानी जारी रखे हुए है और सिक्योरिटी फर्मों के साथ समन्वय कर रही है।

इसके बावजूद, स्थिति खराब दिख रही है: जैसा कि KuCoin के लेख में बताया गया है, सुर्खियाँ अनिवार्य रूप से "Squid" को "हैक" के साथ जोड़ती हैं, भले ही नुकसान एक लापरवाह Safe मॉड्यूल तक सीमित है जिसका प्रोजेक्ट से एकमात्र वास्तविक संबंध ब्रांडिंग और कई एकीकृत राउटर में से एक के रूप में Squid का उपयोग है।

सिक्योरिटी शोधकर्ताओं ने लंबे समय से चेतावनी दी है कि Gnosis Safe की शक्ति एक चेतावनी के साथ आती है कि किसी Safe में प्लग किया गया कोई भी मॉड्यूल मालिक की पुष्टि के बिना ट्रांजैक्शन निष्पादित कर सकता है यदि उसकी लॉजिक त्रुटिपूर्ण हो, और यहाँ ठीक यही हुआ जब फिक्स्ड स्ट्रिंग चेक को बाईपास किया गया।

व्यापक क्रॉस चेन और वॉलेट एक्सटेंशन इकोसिस्टम के लिए, SquidRouterModule की घटना एक और ठोस उदाहरण है कि कैसे कंपोज़ेबिलिटी और पेरिफेरल मॉड्यूल में लापरवाह सिक्योरिटी धारणाएँ एक प्रोटोकॉल के अपने कॉन्ट्रैक्ट्स और ऑडिट से पूरी तरह बाहर अटैक सर्फेस खोल सकती हैं।

यह Squid जैसी इंफ्रास्ट्रक्चर टीमों के लिए एक कड़वी वास्तविकता को भी रेखांकित करता है, जिसे Axelar "एक प्रोटोकॉल जो एकल SDK के माध्यम से क्रॉस चेन लिक्विडिटी रूटिंग और स्वैप सक्षम करता है" के रूप में वर्णित करता है: भले ही आपके अपने कॉन्ट्रैक्ट सुरक्षित हों, थर्ड पार्टी रैपर आपके ब्रांड को एक्सप्लॉइट की सुर्खियों में खींच सकते हैं यदि वे बुनियादी सिक्योरिटी हाइजीन में विफल रहते हैं।