EthereumおよびBaseネットワークにおいて、Gnosis Safeのサードパーティ製モジュール「SquidRouterModule」の脆弱性が悪用され、約320万ドルの暗号資産が流出するハッキング事件が発生しました。この攻撃により、約2時間で86個のGnosis Safeアカウントから資金が奪われました。クロスチェーンルーターであるSquidは、この問題となったスマートコントラクトが自社とは無関係のサードパーティ製品であることを説明し、自社のコアプロトコルへの影響はないと発表しています。
事件の概要と被害状況
ブロックチェーンセキュリティ企業の分析により、EthereumおよびBaseネットワーク上で稼働する「SquidRouterModule」と呼ばれるスマートコントラクトを標的としたハッキングが検出されました。
この攻撃は極めて短時間で行われ、約2時間のうちに86個のGnosis Safe（複数の署名によって管理されるマルチシグウォレット）アカウントから約320万ドル相当の暗号資産が流出しました。
セキュリティ企業Blockaidなどの報告によると、攻撃者は盗み出したトークンを、自身が制御するUniswap V3の流動性プールを介してステーブルコインのDai（DAI）にスワップしたとされています。最終的に約307万DAIが攻撃者のアドレスに集約されており、攻撃者のアドレスは事前にTornado Cashから2.1 ETHの資金提供を受けていたことが確認されています。
Squidによる公式発表と混同への釈明
本件のスマートコントラクト名が「SquidRouterModule」であったことから、クロスチェーンルータープロトコルであるSquid自体がハッキングされたのではないかという懸念が生じました。
これに対しSquidは、このスマートコントラクトが同社によって開発、デプロイ、または運営されたものではないことを公式に表明しました。
Squidの発表によると、問題となったコントラクトは、Squidなどのプロトコルを統合したサードパーティによるスマートウォレット製品の一部であり、Squidのコアプロトコルや契約とは一切関係がありません。Squid自身のルーティングコントラクトは異なるアーキテクチャで設計されており、安全性が保たれています。そのため、Squidの一般ユーザーやインテグレーターへの影響はなく、特別な対応も不要であるとされています。
脆弱性の技術的背景
ハッキングの原因となったのは、サードパーティ製モジュール「SquidRouterModule」におけるメッセージセキュリティの検証不備とされています。
このモジュールは、呼び出し側が提供する特定の固定文字列（定数文字列）をセキュリティの証明として受け入れる設計になっていました。しかし、この文字列は公開されているコントラクトのソースコードから容易に確認できる状態にありました。
攻撃者はこの公開された文字列を利用して検証をバイパスし、署名なしで任意のトランザクションを実行することに成功したとされています。被害に遭ったウォレットは、この「SquidRouterModule」を信頼できるSafeモジュールとして事前に追加していたため、マルチシグの署名プロセスを経ずにウォレット内のトークンが不正に操作されてしまいました。
ポイント
- EthereumおよびBase上で稼働するサードパーティ製モジュール「SquidRouterModule」がハッキングされ、約320万ドルが流出しました。
- 約2時間という短時間で86個のGnosis Safeウォレットから資金が奪われ、最終的に約307万DAIにスワップされて犯人のアドレスに集約されました。
- クロスチェーンルーターのSquidは、問題の契約が自社とは無関係のサードパーティ製品であることを発表し、自社のコアプロトコルやユーザー資金の安全性に問題はないと強調しました。
- 脆弱性の原因は、公開コード内に記載された固定文字列をセキュリティ証明として受け入れる設計にあり、これを悪用されてマルチシグの署名なしで資金操作が行われました。
- 信頼されたモジュールに与えられる権限の管理や、スマートコントラクトの名称類似による誤認への注意喚起の観点から業界で注目されています。