Firma zajmująca się bezpieczeństwem blockchain SlowMist zidentyfikowała błąd w FlashAdapter — zewnętrznym komponencie, który według doniesień umożliwił atakującemu wyprowadzenie zabezpieczeń z dwóch portfeli multisig Safe. Odkrycie to uwypukla klasę ryzyka integracyjnego wykraczającego poza podstawowe zabezpieczenia multisig zapewniane przez Safe i rodzi pytania o to, jak zespoły weryfikują adaptery i moduły, które podłączają do swoich portfeli. Safe, dawniej znany jako Gnosis Safe, jest powszechnie wykorzystywany w DeFi do zarządzania skarbcem, dzięki czemu błędy w podłączonych komponentach stanowią problem wykraczający poza bezpośrednio dotknięte portfele.

Kluczowe punkty

• SlowMist przypisała incydent błędowi w FlashLoopAdapter — zewnętrznym adapterze, a nie podatności w samym Safe.
• Atakujący wykorzystał błąd, aby wyprowadzić zabezpieczenia z dwóch oddzielnych portfeli multisig Safe.
• Zgłoszonym skutkiem była utrata zabezpieczeń; w obecnym doniesieniu nie ma potwierdzonych kwot strat, hashy transakcji ani adresów atakującego.

Co zgłosiła SlowMist

Według SlowMist podatność znajdowała się w FlashLoopAdapter, który opisywany jest jako zewnętrzny adapter, a nie natywny kontrakt Safe. Błąd dał atakującemu ścieżkę do wyodrębnienia zabezpieczeń z dwóch portfeli, które zintegrowały ten komponent, przy czym logika podpisywania multisig Safe pozostała nienaruszona.

To rozróżnienie ma znaczenie, ponieważ przesuwa powierzchnię ataku z dobrze audytowanego rdzenia Safe w stronę peryferyjnego punktu integracji. SlowMist przypisała utratę zabezpieczeń jako zgłoszony skutek, jednak pełna techniczna przyczyna źródłowa — w tym konkretne ścieżki wywołań, wektory reentrancji czy błędy kontroli dostępu — nie została potwierona w obecnym doniesieniu. Wszystkie twierdzenia o incydencie przypisano wyłącznie zgłoszonym ustaleniom SlowMist. Te niepotwierdzone elementy — dokładne kwoty strat, hashe transakcji, adresy atakującego oraz przyczyna źródłowa na poziomie adaptera — to szczegóły, na które należy zwracać uwagę w kolejnych doniesieniach, ponieważ określiłyby pełen zakres i mechanikę incydentu.

Porównywalny incydent dotyczący modułu pętli podłączonego do portfeli Safe wcześniej doprowadził do kradzieży 114,09 ETH w ataku na Aave v3 Loop Safe Module, co pokazuje, że adaptery typu loop współpracujące z infrastrukturą Safe stały się powtarzającą się powierzchnią ataku w DeFi.

Dlaczego ryzyko zewnętrznych adapterów ma znaczenie dla portfeli multisig

Portfele multisig Safe egzekwują silne progi podpisywania i kontrole dostępu na warstwie portfela, ale te gwarancje nie obejmują każdego kontraktu, z którym portfel wchodzi w interakcję. Gdy zespół dodaje zewnętrzny adapter, adapter ten często otrzymuje delegowane prawa wykonawcze lub dostęp do zabezpieczeń, które funkcjonują obok — a nie poniżej — warstwy zatwierdzeń multisig. W praktyce adapter posiadający delegowane prawa może operować na środkach portfela bez przechodzenia przez proces podpisywania multisig, a błąd w adapterze może więc obejść zabezpieczenia operacyjne zapewniane przez sam multisig.

Incydent z FlashLoopAdapter, według doniesień SlowMist, jest bezpośrednim przykładem tej ekspozycji: dwa portfele zostały rzekomo dotknięte nie dlatego, że ich konfiguracja podpisywania została skompromitowana, lecz dlatego, że podłączony komponent wprowadził podatność umożliwiającą opróżnienie środków.

Rozważania dotyczące bezpieczeństwa operacyjnego

Zespoły korzystające z portfeli Safe powinny traktować każdy moduł i adapter jako niezależny obwód bezpieczeństwa, weryfikując uprawnienia, zakresy dostępu i status audytu przed podłączeniem ich do produkcyjnych portfeli. Przegląd tego, które kontrakty posiadają delegowany dostęp do portfela, oraz odbieranie uprawnień adapterom, które nie są już aktywnie używane, to podstawowy krok zmniejszający zasięg potencjalnych szkód, jeśli okaże się, że zewnętrzny komponent zawiera błąd.

Nie jest to potwierdzona metoda naprawcza dla konkretnego incydentu z FlashLoopAdapter; odzwierciedla ona standardową praktykę bezpieczeństwa operacyjnego DeFi dla każdej integracji połączonej z multisig. Dodatkowe odniesienia do źródeł zostały zawarte w oryginalnym doniesieniu.