Exploit su Ethereum: un wallet Safe perde 7,73 milioni di dollari in rsETH

Un exploit su Ethereum ha causato la perdita di circa 7,73 milioni di dollari in rsETH da parte di un wallet Safe, come rivelato da Blockaid. L’attacco ha sfruttato una funzione pubblica del protocollo Uniswap v4 per dirottare fondi verso un pool creato appositamente dall’attaccante. L’evento, avvenuto nel giro di poche ore, ha messo in luce i rischi legati ai moduli personalizzati che interagiscono con i “hook” di Uniswap v4, un sistema di programmazione avanzata introdotto nella versione 4 del protocollo di scambio decentralizzato.

Un exploit sfrutta un modulo personalizzato su Uniswap v4

L’attacco ha sfruttato un keeper multicall pubblico, una funzione accessibile a chiunque, per colpire un modulo liquidity provider personalizzato costruito sopra Uniswap v4. Il modulo, progettato per gestire la liquidità, è stato sfruttato per reindirizzare i fondi verso un pool creato appositamente dall’attaccante. Il token colpito, rsETH, rappresenta una quota di ETH messo in staking tramite protocolli di liquid staking, un settore in crescita della finanza decentralizzata che promette liquidità immediata su asset altrimenti bloccati.

La sicurezza dipende anche dai moduli esterni

Perché conta: la sicurezza dell’intero framework di Uniswap v4 dipende non solo dal codice base del protocollo, ma anche dalla qualità dei moduli costruiti sopra di esso da sviluppatori esterni. Un singolo modulo mal progettato, come quello sfruttato in questo attacco, può bastare per drenare milioni di dollari, anche quando gli asset sono custoditi tramite strumenti considerati robusti come i wallet Safe multisig.

Un singolo modulo può compromettere la sicurezza

Il problema è che, essendo pubblica, la funzione keeper multicall poteva essere richiamata da chiunque, incluso l’attaccante, che l’ha usata per forzare il reindirizzamento di asset verso una destinazione non autorizzata. I fondi sottratti sono stati incanalati in un pool hooked creato appositamente dall’attaccante all’interno dello stesso framework Uniswap v4. Questo pool, replicando la logica del protocollo, ha sfruttato la stessa infrastruttura hook che permette agli sviluppatori legittimi di personalizzare i pool di liquidità. Il caso ha messo in luce i rischi legati alla flessibilità di Uniswap v4, che, sebbene aperta a innovazioni, aumenta le superfici di attacco quando i moduli non sono progettati con controlli d’accesso adeguati. L’episodio arriva in un momento in cui il protocollo continua a espandere il proprio ecosistema di hook personalizzati da parte di terze parti.

Il bersaglio dell’attacco resta anonimo, e Blockaid non ha specificato come l’attaccante sia riuscito a operare su un modulo collegato al wallet. La cifra sottratta, quasi 7,8 milioni di dollari, colloca l’episodio tra gli exploit più rilevanti degli ultimi mesi legati all’ecosistema Ethereum. Questo evento ha dimostrato che anche gli strumenti considerati più sicuri, come i wallet multisig, non sono immuni a vulnerabilità se i moduli o i contratti con cui interagiscono vengono compromessi a monte. L’attacco ha sottolineato l’importanza di una verifica rigorosa dei moduli esterni e di una gestione attenta delle funzioni accessibili a chiunque, come i keeper multicall. La sicurezza del sistema non si limita al codice principale, ma include anche la correttezza e la robustezza dei componenti aggiuntivi sviluppati da terzi.