Сначала о чём речь: это не то, что сам Safe был взломан. Проблема в том, что подключённый к кошельку пользовательский модуль оставил бэкдор открытым.
15 сентября около 04:38 UTC, специалисты по безопасности вроде Blockaid отследили злоупотребление авторизацией модуля в Ethereum Safe: атакующий через публичный keeper multicall направил пользовательский модуль ликвидности Uniswap v4 в созданный им hooked pool, в результате чего aEthrsETH был разбит примерно на 2900 единиц $rsETH, оценка — около 7,73 млн долларов (в СМИ также встречается цифра около 7,8 млн). По оценке специалистов, инцидент квалифицирован как злоупотребление модульной авторизацией, а не как взлом ядра Safe или компрометация ключа владельца.
Самое драматичное — тот же самый участок: MEV-сёрчер Yoink в публичном mempool опережает и первым упаковывает транзакцию, заплатив билдеру около 18,93 $ETH (примерно 46 тысяч долларов), и перехватил порядка 2882 монет $rsETH. Хакер сделал своё дело — деньги сначала осели в кармане у робота.
Затем Kelp (протокол $rsETH) в ответ установил адрес-получатель в 24-часовую паузу на уровне кошелька и заявил: контракт Kelp работает нормально, $rsETH по-прежнему полностью обеспечен (fully backed), приостановки чеканки/погашения/интеграции нет — риски находятся в пользовательских настраиваемых модулях, а не в основном контракте протокола. Вернут ли в итоге деньги пользователям — зависит от дальнейших переговоров с white hats; в прецедентах кто-то оставлял около 10% bounty и затем возвращал остаток.
Моя фильтрация: мультиподписной модуль = дополнительная поверхность полномочий. Удобство «можно делегировать подпись» — это то, что другие получают вход для того, чтобы тратить от вашего имени. В ончейн-публичном mempool опережающие транзакции иногда происходят быстрее, чем действия хакеров.
Не является инвестиционной рекомендацией.