פריצה בבלוקצ'יין: 3.2 מיליון דולר נגנבו בעזרת מודול צד שלישי של Gnosis Safe
האירוע האחרון בעולם הקריפטו זעזע את הקהילה, כאשר תוקפים הצליחו לנצל מודול צד שלישי בשם SquidRouterModule ולגנוב כ-3.2 מיליון דולר מרשתות Ethereum ו-Base. חברות אבטחת בלוקצ'יין זיהו את הניצול שפגע ב-86 חשבונות Gnosis Safe בתוך שעתיים בלבד.
החברה Squid, אשר מזוהה עם המודול, פעלה במהירות כדי להבהיר כי היא אינה אחראית למקרה, והדגישה כי "החוזה חולק את שמנו אך אינו הקוד שלנו". מדובר במודול צד שלישי שנפרץ, ולא בחוזה הנתב של Squid עצמה, אשר נותר בטוח ותקין.
במהלך הפריצה, התוקף המיר את הכספים הגנובים לאסימונים של Dai (DAI) דרך בריכות Uniswap V3 שנשלטות על ידו. חברת האבטחה PeckShield ציינה כי התוקף מומן במקור ב-2.1 ETH מ-Tornado Cash, שירות מערבל המשמש להסוואת מקורות הכספים. הארנק של התוקף, 0xA447…54859, מכיל את הנכסים הגנובים.
עולם הקריפטו ראה בשנים האחרונות מספר מקרים של ניצולי אבטחה בפרוטוקולים שונים, אך האירוע הנוכחי מדגיש את הסכנות הכרוכות בשימוש בפרוטוקולים ובמודולים של צד שלישי. DefiLlama, פלטפורמת מעקב אחר פרוטוקולים, דיווחה על יותר מ-20 ניצולים במאי 2026 בלבד.
הניצול התרחש מכיוון שהמודול של הצד השלישי קיבל מחרוזת קבועה שסופקה כהוכחה לכך שההודעה מאובטחת. תוקף שהצליח להעביר מחרוזת זו הצליח לבצע קריאות נתונים שרירותיות ולגנוב כספים. החוזה הפגום הוסף כמודול Safe מהימן, מה שאיפשר לו להוציא כל אסימון ללא חתימות.
המקרה הנוכחי מעלה שאלות מהותיות על האבטחה והאמינות של פרוטוקולים צד שלישי בעולם הקריפטו. המשתמשים והחברות חייבים להקפיד על בדיקות אבטחה מחמירות לפני הטמעת פרוטוקולים חדשים, כדי למנוע מקרים דומים בעתיד.
מה דעתכם על האירועים האחרונים? האם יש צורך ברגולציה מחמירה יותר בעולם הקריפטו או שמא על המשתמשים לשאת באחריות על בטיחות השקעותיהם? נשמח לשמוע את דעתכם.