15 сентября примерно $7,7 млн в rsETH были выведены из Ethereum Safe. Ключ владельца украден не был, и сами контракты Safe не были проблемой.
В кошельке был пользовательский модуль, которому уже было разрешено действовать от его имени. Отсутствующая проверка доступа позволила внешнему вызывающему использовать это разрешение без получения новой подписи от владельцев.
Затем MEV-бот обнаружил транзакцию и успел перехватить rsETH первым. Kelp временно ограничил адрес-получатель.
Это меняет подход к мультисигу. Важен порог подписантов, но также важен каждый модуль, который может действовать, не возвращаясь к этим подписантам.
В кошельке был пользовательский модуль, которому уже было разрешено действовать от его имени. Отсутствующая проверка доступа позволила внешнему вызывающему использовать это разрешение без получения новой подписи от владельцев.
Затем MEV-бот обнаружил транзакцию и успел перехватить rsETH первым. Kelp временно ограничил адрес-получатель.
Это меняет подход к мультисигу. Важен порог подписантов, но также важен каждый модуль, который может действовать, не возвращаясь к этим подписантам.
