首先说清楚：并不是 Safe 本身被破坏，而是钱包挂上的自定义模块把后门留得太大。
9 月 15 日约 04:38 UTC，Blockaid 等安全方追踪到一笔 Ethereum Safe 上的模块授权滥用：攻击者通过公开的 keeper multicall，将自定义 Uniswap v4 流动性模块导向自建的 hooked pool，把 aEthrsETH 拆成约 2900 枚 $rsETH，估值约 773 万美元（媒体也有约 780 万的说法）。安全方的定性是 module-authorization abuse，而不是 Safe 核心或 owner key 被拿走。
O mais dramático foi o mesmo bloco: o buscador de MEV Yoink, no mempool público, empacotou primeiro, pagando ao builder cerca de 18,93 $ETH (aprox. US$ 46 mil) e interceptando cerca de 2882 unidades de $rsETH. O hacker terminou o serviço, e o dinheiro primeiro caiu no bolso do robô.
Depois, a Kelp (protocolo de $rsETH) aplicou uma pausa em nível de carteira de 24 horas no endereço de recebimento e declarou: o contrato da Kelp está normal, o $rsETH ainda está totalmente lastreado (fully backed), e não houve interrupção em mint/redimir/integrar — o risco fica nos módulos personalizados do lado do usuário, não no contrato principal do protocolo. Se o dinheiro finalmente volta para o usuário ou não, depende de negociações futuras com os white hats; há precedentes em que alguém deixou cerca de 10% do bounty e depois devolveu.
Minha filtragem: o módulo de multisig = mais uma superfície de permissões. A “comodidade” de poder assinar em nome de alguém é justamente a porta pela qual outros também podem gastar por procuração. No mempool público na cadeia, o front-running às vezes é mais rápido do que um hacker.
Não constitui aconselhamento de investimento.