Le società di sicurezza blockchain Blockaid, PeckShield e BlockSec hanno confermato un exploit che ha drenato circa 7,8 milioni di dollari in rsETH — circa 2.900 token — da un wallet Gnosis Safe su Ethereum. Safe è un wallet basato su smart contract ampiamente utilizzato per proteggere consistenti patrimonio on-chain, mentre rsETH è il token di liquid restaking emesso da KelpDAO, una rappresentanza negoziabile di asset in restaking. Secondo i rapporti delle società, l'incidente è iniziato alle 04: UTC del 15 settembre con una transazione che ha spostato la maggior parte dei fondi, seguita da diverse transazioni minori nell'ora successiva per un totale di circa 160.000 dollari aggiuntivi.

Un Controllo Di Autorizzazione Difettoso Ha Consentito Esecuzione Arbitraria

La causa principale era un controllo di autorizzazione difettoso nel contratto executor, identificato dagli analisti come l'indirizzo 0x4f0055926c839D1d960a82CBF84E2eE933958ebC. Il Safe preso di mira, appartenente a un grande detentore di rsETH a leva, si affidava a un modulo strategy executor inserito nella whitelist che esponeva un entrypoint di tipo recipe. Questo entrypoint inoltrava calldata interamente forniti dal chiamante alla funzione execTransactionFromModuleReturnData del Safe utilizzando operation=1 (DELEGATECALL) — un'operazione che consente al codice chiamato di essere eseguito nel contesto del chiamante stesso — senza limitare il chiamante esterno. L'impostazione del parametro contract fornito all'indirizzo stesso dell'executor superava la validazione, meaning chiunque riuscisse a raggiungere l'entrypoint poteva eseguire codice arbitrario all'interno del Safe, ottenendo di fatto il pieno controllo dei suoi asset.

L'attaccante ha utilizzato un keeper multicall pubblico per instradare il modulo autorizzato Uni V4 LP Safe verso un pool Uniswap V4 con hook creato dall'attaccante, eseguendo tramite Permit2 e il PositionManager. Come parte della preparazione, l'attaccante ha distribuito un token privo di valore denominato "Permissionless Attacker Token" (PAT) e ha fornito circa 2.900 aEthrsETH come liquidità contro esso. Un hook personalizzato nel pool ha quindi sciolto gli aEthrsETH in rsETH e li ha sottratti dal Safe, che è rimasto con un LP NFT privo di valore.

Blockaid exploit detection system detected an exploit on an unidentified user's Safe on Ethereum. ~$7.73M confirmed rsETH loss so far. An attacker used a public keeper multicall to drive a custom Uni V4 LP Safe module into an attacker-created hooked pool; the hook unwrapped…

— Blockaid (@blockaid_) September 15, 2026

Un Bot MEV Anticipa L'attacco; KelpDAO Impone Una Pausa Temporanea

In modo notevole, la transazione di attacco originale non ha mai raggiunto il beneficiario previsto. L'attaccante ha lanciato l'exploit direttamente nella mempool pubblica, dove è stato anticipato da un bot MEV di nome "yoink", che ha catturato l'intero importo di ~2.882 rsETH — del valore di circa 7,8 milioni di dollari — e lo ha instradato all'indirizzo 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. Di fatto, un bot di maximal extractable value — un programma che cattura valore sfruttando l'ordinamento delle transazioni all'interno di un blocco — anziché l'attaccante, se ne è andato con i fondi rubati.

In risposta, KelpDAO ha annunciato di aver rilevato attività sospette sull'indirizzo ricevente e lo ha posto sotto una pausa cautelativa di 24 ore, durante la quale rsETH non può entrare o uscire. Il team ha dichiarato di lavorare con esperti di sicurezza all'indagine e ha sottolineato che la misura è solo a livello di wallet: i contratti di Kelp rimangono sicuri, rsETH resta pienamente garantito e tutte le operazioni di mint, prelievo e integrazione proseguono normalmente, senza che sia richiesta alcuna azione da parte degli utenti.

We've detected potential suspicious activity on an the address (0xc70f00cd7e461686b04b0e912e309becA8b80ea0) that received rsETH a few hours ago. Out of an abundance of caution, we've placed that address under a temporary 24-hour pause. During this window, rsETH cannot move in…

— Kelp (@KelpDAO) September 15, 2026

Abuso A Livello Di Modulo, Non Una Vulnerabilità Del Core Di Safe

Gli analisti di sicurezza hanno sottolineato che si è trattato di un abuso dell'autorizzazione dei moduli specifico di un solo Safe, non di una vulnerabilità nei contratti core di Safe o nelle chiavi dei proprietari. Poiché i moduli Safe operano con l'autorità del wallet stesso, un difetto anche in un'estensione fidata e inserita nella whitelist può esporre un intero saldo senza alcun compromesso dei controlli del proprietario. L'incidente evidenzia comunque un rischio persistente per gli utenti di wallet basati su smart contract: il core di Safe non ha mai subito un exploit diretto del protocollo, ma gli utenti hanno ripetutamente perso fondi a causa di infrastrutture compromesse ed estensioni di terze parti vulnerabili, compreso oltre 2 milioni di dollari rubati in attacchi di address poisoning che hanno colpito 21 utenti Safe nel 2023.

Fonte: Metaverse Post