Компания в области блокчейн-безопасности SlowMist выявила уязвимость в FlashAdapter — стороннем компоненте, который, по имеющимся данным, позволил злоумышленнику вывести обеспечение из двух multisig-кошельков Safe. Эта находка указывает на класс рисков интеграции, находящийся за пределами базовых multisig-механизмов контроля, которые обеспечивает Safe, и поднимает вопросы о том, как команды проверяют адаптеры и модули, подключаемые к своим кошелькам. Safe, ранее известный как Gnosis Safe, широко используется в DeFi для управления казначейством, поэтому уязвимости в подключаемых компонентах вызывают озабоченность, выходящую за рамки непосредственно затронутых кошельков.

Ключевые моменты

• SlowMist связала инцидент с уязвимостью в FlashLoopAdapter — стороннем адаптере, а не с уязвимостью в самом Safe.
• Злоумышленник воспользовался уязвимостью, чтобы вывести обеспечение из двух отдельных multisig-кошельков Safe.
• Заявленным последствием стала потеря обеспечения; в текущем раскрытии нет подтвержденных сумм потерь, хешей транзакций или адресов злоумышленника.

Что сообщила SlowMist

По данным SlowMist, уязвимость находилась в FlashLoopAdapter, который описывается как сторонний адаптер, а не нативный контракт Safe. Уязвимость дала злоумышленнику путь к извлечению обеспечения из двух кошельков, интегрировавших этот компонент, при этом логика подписи multisig в Safe осталась нетронутой.

Это различие важно, поскольку оно смещает поверхность атаки от тщательно проверенной аудитом основы Safe к периферийной точке интеграции. SlowMist указала вывод обеспечения как заявленное последствие, однако полная техническая первопричина — включая конкретные пути вызовов, векторы реентерабельности или сбои контроля доступа — не подтверждена в текущем раскрытии. Все утверждения об инциденте приписываются исключительно выводам SlowMist. Именно эти неподтвержденные элементы — точные суммы потерь, хеши транзакций, адреса злоумышленника и первопричина на уровне адаптера — следует отслеживать в последующих раскрытиях, поскольку они определят полный масштаб и механику инцидента.

Сопоставимый инцидент с участием loop-модуля, подключенного к кошелькам Safe, ранее привел к краже 114.09 ETH в ходе эксплойта Aave v3 Loop Safe Module, что свидетельствует о том, что адаптеры loop-типа, взаимодействующие с инфраструктурой Safe, стали повторяющейся поверхностью атак в DeFi.

Почему риск сторонних адаптеров важен для multisig-кошельков

Multisig-шельки Safe обеспечивают строгие пороги подписи и контроль доступа на уровне кошелька, но эти гарантии не распространяются на каждый контракт, с которым взаимодействует кошелек. Когда команда добавляет сторонний адаптер, такой адаптер часто получает делегированные права на выполнение или доступ к обеспечению, которые действуют наряду с — а не под — уровнем одобрения multisig. На практике адаптер, обладающий делегированными правами, может распоряжаться средствами кошелька, не проходя через процесс подписи multisig, и уязвимость в адаптере, следовательно, может обойти операционную безопасность, которую обеспечивает сам multisig.

Инцидент с FlashLoopAdapter, как сообщает SlowMist, является прямым примером такой уязвимости: два кошелька, по имеющимся данным, пострадали не из-за компрометации их схемы подписи, а из-за того, что подключенный компонент содержал уязвимость, позволявшую вывести средства.

Соображения по операционной безопасности

Командам, использующим кошельки Safe, следует рассматривать каждый модуль и адаптер как независимый периметр безопасности, проверяя разрешения, области доступа и статус аудита перед подключением их к рабочим кошелькам. Проверка того, какие контракты имеют делегированный доступ к кошельку, и отзыв разрешений у адаптеров, которые больше не используются активно, — это базовый шаг, снижающий масштаб возможного ущерба, если сторонний компонент впоследствии окажется уязвимым.

Это не подтвержденное исправление для конкретного инцидента с FlashLoopAdapter; это отражает стандартную практику операционной безопасности DeFi для любых интеграций, подключенных к multisig. Дополнительные ссылки на источники были включены в оригинальный отчет.