Атакующий вывел около 2 900 rsETH на сумму $7,8 млн из Gnosis Safe в Ethereum. Причина — уязвимый вспомогательный контракт, которому кошелёк заранее доверил управление средствами, а не ядро Safe.

  • Ошибка проверки Multicall разрешала вызов любому пользователю, указавшему сам helper в качестве цели.
  • Бот yoink заплатил около $47 000, обогнал транзакцию и забрал токены через пул с бесполезным токеном.
  • Kelp DAO временно заморозила подозрительный адрес на 24 часа; rsETH нельзя вводить или выводить.

Вывод LaunchBar: multisig не спасает от опасных модулей и разрешений. Проверьте trusted-контракты, отзовите лишние approvals и не путайте Safe с полной гарантией безопасности.