Blockchainbeveiligingsbedrijven Blockaid, PeckShield en BlockSec hebben een exploit bevestigd waarbij ongeveer $7,8 miljoen aan rsETH — zo'n 2.900 tokens — werd leeggetrokken uit een Gnosis Safe-portemonnee op Ethereum. Safe is een slimme contractportemonnee die veel wordt gebruikt om grote on-chain bezittingen te beveiligen, en rsETH is de liquid restaking-token die wordt uitgegeven door KelpDAO, een verhandelbare representatie van restaked assets. Volgens de rapporten van de bedrijven begon het incident op 15 september om 04:38 UTC met een transactie die het merendeel van de funds verplaatste, gevolgd door verschillende kleinere transacties in het daaropvolgende uur met een totale waarde van nog eens ~$160.000.

Gebrekkige autorisatiecontrole maakte willekeurige executie mogelijk

De oorzaak was een gebrekkige autorisatiecontrole in het executorcontract, door analisten geïdentificeerd als adres 0x4f0055926c839D1d960a82CBF84E2eE933958ebC. De aangevallen Safe, die toebehoorde aan een grote houder van geleverde rsETH, vertrouwde op een gewhitelistte strategy executor-module die een recipe-entrypoint blootlegde. Dit entrypoint gaf volledig door de aanroeper aangeleverde calldata door aan de functie execTransactionFromModuleReturnData van de Safe met operation=1 (DELEGATECALL) — een operatie waee de aangeroepen code binnen de eigen context van de aanroeper kan worden uitgevoerd — zonder de externe aanroeper te beperken. Door de opgegeven contractparameter in te stellen op het eigen adres van de executor werd de validatie doorstaan, waardoor iedereen die het entrypoint kon bereiken willekeurige code binnen de Safe kon uitvoeren en feitelijk volledige controle over de assets kreeg.

De aanvaller gebruikte een publieke keeper multicall om de geautoriseerde Uni V4 LP Safe-module naar een door de aanvaller aangemaakte Uniswap V4-pool met een hook te leiden, uitgevoerd via Permit2 en de PositionManager. Als onderdeel van de opzet deployde de aanvaller een waardeloze token genaamd de "Permissionless Attacker Token" (PAT) en leverde hij ongeveer 2.900 aEthrsETH aan als liquiditeit tegen deze token. Een aangepaste hook in de pool ontbond de aEthrsETH vervolgens naar rsETH en taptte deze uit de Safe af, waarbij de Safe achterbleef met een waardeloze LP NFT.

Blockaid exploit detection system detected an exploit on an unidentified user's Safe on Ethereum. ~$7.73M confirmed rsETH loss so far. An attacker used a public keeper multicall to drive a custom Uni V4 LP Safe module into an attacker-created hooked pool; the hook unwrapped…

— Blockaid (@blockaid_) September 15, 2026

MEV-bot voert front-run uit op aanval; KelpDAO legt tijdelijke pauze op

Opvallend genoeg bereikte de oorspronkelijke aanvalstransactie nooit de beoogde begunstigde. De aanvaller lanceerde de exploit rechtstreeks in de publieke mempool, waar een MEV-bot genaamd "yoink" een front-run uitvoerde en de volledige ~2.882 rsETH — ter waarde van ongeveer $7,8 miljoen — bemachtigde en naar adres 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 leidde. In feite liep een maximal extractable value-bot — een programma dat waarde captured door de volgorde van transacties binnen een blok te exploiteren — en niet de aanvaller, met de gestolen funds heen.

Als reactie daarop kondigde KelpDAO aan dat het verdachte activiteit op het ontvangende adres had gedetecteerd en het adres een voorzorgspauze van 24 uur had opgelegd, gedurende welke rsETH niet in of uit kan. Het team verklaarde samen te werken met beveiligingsexperts aan het onderzoek en benadrukte dat de maatregel alleen op portemonneeniveau geldt: de Kelp-contracten blijven veilig, rsETH blijft volledig gedekt, en alle mint-, opname- en integratieactiviteiten verlopen normaal, zonder dat gebruikers actie hoeven te ondernemen.

We've detected potential suspicious activity on an the address (0xc70f00cd7e461686b04b0e912e309becA8b80ea0) that received rsETH a few hours ago. Out of an abundance of caution, we've placed that address under a temporary 24-hour pause. During this window, rsETH cannot move in…

— Kelp (@KelpDAO) September 15, 2026\n## Misbruik op moduleniveau, geen kwetsbaarheid in de Safe-core

Beveiligingsanalisten benadrukten dat dit misbruik van module-autorisatie betrof dat specifiek was voor één Safe, en geen kwetsbaarheid in de kerncontracten of eigenaarsleutels van Safe. Omdat Safe-modules worden uitgevoerd met de autoriteit van de portemonnee zelf, kan een fout in zelfs een vertrouwde, gewhitelistte extensie een volledige balans blootstellen zonder enige compromittering van de eigenaarcontroles. Het incident onderstreept desalniettemin een aanhoudend risico voor gebruikers van slimme contractportemonnees: de core van Safe heeft nooit een direct protocol-exploit ondergaan, maar gebruikers hebben herhaaldelijk funds verloren door gecompromitteerde infrastructuur en kwetsbare extensies van derden, waaronder meer dan $2 miljoen gestolen in adresvergiftingsaanvallen die in 2023 21 Safe-gebruikers troffen.

Bron: Metaverse Post