15 сентября неизвестный злоумышленник попытался вывести около 2900 токенов rsETH стоимостью $7,73 млн из Safe-кошелька в сети Ethereum. Атака была проведена через публичный вызов Multicall, что позволило перенаправить пользовательский модуль ликвидности Uniswap v4 в пул с вредоносным смарт-контрактом.
MEV-бот Yoink обнаружил транзакцию и перехватил активы, проведя собственную операцию в том же блоке. Специалисты компаний BlockSec, SlowMist и AstraSec установили, что причиной инцидента стала ошибка проверки прав доступа во вспомогательном Multicall-контракте, которому владелец кошелька ранее предоставил полномочия.
Исследователи подчеркнули, что уязвимость не затронула базовые смарт-контракты Safe, а касалась лишь дополнительного компонента, подключенного пользователем. Протокол Kelp DAO, выпускающий rsETH, временно ограничил операции для адреса, получившего токены, на 24 часа.
В Kelp DAO заявили, что ограничение действует только для одного адреса. Смарт-контракты протокола работают в штатном режиме, rsETH остается обеспеченным активом, а пользователям не требуется предпринимать какие-либо дополнительные действия.
