Le routeur cross-chain Squid a pris ses distances avec un module tiers de Gnosis Safe, le SquidRouterModule, après qu’un hack a permis de dérober environ 3,2 millions de dollars sur Ethereum et Base.
Des sociétés spécialisées dans la sécurité blockchain ont signalé le hack, qui a touché 86 comptes Gnosis Safe en environ deux heures.
Squid se distancie du hack à 3,2 millions de dollars du SquidRouterModule
Blockaid a souligné que l’attaquant a échangé les jetons volés contre du Dai (DAI) par le biais de pools Uniswap V3 contrôlés par l’attaquant.
Par ailleurs, la société de sécurité PeckShield a indiqué que l’attaquant avait initialement été financé avec 2,1 ETH par le biais de Tornado Cash. De plus, la société a précisé que le wallet de l’attaquant 0xA447…54859 contenait les actifs volés.
Suivez-nous sur X pour recevoir toute l’actualité en temps réel
Sur X, Squid a rapidement dissocié son protocole du smart contract compromis. L’équipe a précisé que « ce contrat porte notre nom mais n’est pas notre code ». Elle a également insisté sur le fait qu’aucun de ses utilisateurs n’avait été affecté.
« Les premiers rapports publics peuvent mentionner “SquidRouter” en raison du nom validé du contrat sur Basescan. En réalité : un module tiers, SquidRouterModule, a été compromis, et non le smart contract Router de Squid », indique l’équipe.
Sur Basescan, le contrat compromis porte le nom « SquidRouterModule », ce qui a provoqué une confusion initiale. Squid a précisé que l’équipe n’a eu aucun rôle dans la rédaction du contrat ni dans son déploiement on-chain. Il a été décrit comme un produit smart-wallet tiers intégré à plusieurs protocoles, y compris Squid.
Le router réel de Squid est situé à l’adresse 0xce16F69375520ab01377ce7B88f5BA8C48F8D666 et repose sur une conception différente. Ce contrat n’a pas été affecté par l’attaque, et les soldes des utilisateurs, les autorisations et les intégrations de la plateforme restent tous en sécurité.
« Le hack a fonctionné parce que le module tiers acceptait une chaîne de caractères constante fournie par l’appelant comme preuve de la sécurité d’un message. Si vous renseignez cette chaîne (qui est disponible publiquement dans le code vérifié du contrat), vous pouvez alors exécuter une série d’arbitrary calldata et ainsi dérober des fonds à volonté. Les Safes des victimes avaient ajouté ce contrat défectueux comme un Safe Module de confiance, donnant ainsi au contrat la possibilité de dépenser n’importe quel jeton dans le Safe sans signature », a expliqué le protocole.
L’incident fait partie de plusieurs hacks qui ont visé les protocoles crypto ce mois-ci. DefiLlama a recensé plus de 20 hacks en mai 2026.
Abonnez-vous à notre chaîne YouTube pour retrouver toutes les analyses de nos experts et journalistes
