Giao thức cross-chain Squid vừa phải lên tiếng đính chính sau khi một module bên thứ ba mang tên “SquidRouterModule” bị khai thác, khiến khoảng 3,2 triệu USD tài sản bị đánh cắp khỏi hàng chục ví Gnosis Safe trên Ethereum và Base.

Theo các công ty bảo mật Blockaid và PeckShield, vụ việc ảnh hưởng tới 86 ví Safe chỉ trong khoảng 2 giờ.

Tuy nhiên, phía Squid khẳng định hợp đồng bị tấn công không thuộc hệ thống do họ phát triển hay vận hành.

“Hợp đồng SquidRouterModule không liên quan đến Squid. Chúng tôi hiện chưa biết ai là người viết hoặc triển khai nó”, đồng sáng lập Squid với biệt danh Fig cho biết trên X.

Squid users and integrators are safe. No approvals are at risk on any chain.

The contract called SquidRouterModule is unrelated to Squid. We don’t know yet who wrote or deployed this

— fig (@ecdsafu) May 25, 2026

Hacker lợi dụng lỗ hổng xác thực sơ sài

Theo phân tích ban đầu, module này mắc lỗi nghiêm trọng khi chấp nhận một chuỗi ký tự do người gọi tự cung cấp để xác minh tính hợp lệ của giao dịch.

Chỉ cần truyền đúng chuỗi này, hacker có thể thực thi dữ liệu tùy ý và chi tiêu token trong ví nạn nhân mà không cần chữ ký xác thực.

Kẻ tấn công sau đó sử dụng các hợp đồng exploit xây dựng bằng Foundry để giả mạo delegate hợp lệ trên từng ví Safe, rồi thực hiện swap token thông qua Uniswap V3.

Blockaid cho biết hacker đã chuyển tài sản nạn nhân sang một token gần như vô giá trị mang tên “u” thông qua các pool thanh khoản do chính chúng tạo ra trên Uniswap V3.

Sau đó, đối tượng rút thanh khoản và gom tài sản thành khoảng 3,07 triệu DAI. Theo PeckShield, toàn bộ số DAI hiện nằm trong một ví bắt đầu bằng “0xa447…54859”. Nguồn tiền ban đầu để triển khai cuộc tấn công là khoảng 2,1 ETH đến từ Tornado Cash.

This incident is unrelated to Squid’s core protocol and contracts. All Squid users and integrators are unaffected and no action is needed.

A third-party Gnosis Safe module was exploited today across Base and Ethereum, resulting in approximately $3.2M in losses. The vulnerable… https://t.co/I3gGmdBvE9

— squid (@squidrouter) May 25, 2026

Squid phủ nhận liên quan trực tiếp

Squid cho biết nhiều báo cáo ban đầu đã nhầm lẫn khi cho rằng “SquidRouter” là sản phẩm chính thức của dự án.

Theo giải thích, đây là một sản phẩm bên thứ ba chỉ đơn giản tích hợp Squid cùng nhiều giao thức khác, chứ không hề có liên hệ trực tiếp với đội ngũ phát triển.

Phía dự án cũng nhấn mạnh router cốt lõi của Squid không bị ảnh hưởng bởi sự cố lần này.

Vụ việc một lần nữa cho thấy hạ tầng cross-chain vẫn là khu vực có rủi ro bảo mật cao nhất trong thị trường crypto.

Theo dữ liệu từ The Block, ngành DeFi đã mất hơn 770 triệu USD vì các vụ exploit từ đầu năm 2026 tới nay. Riêng tháng 4 ghi nhận hơn 30 sự cố với tổng thiệt hại vượt 630 triệu USD.

#PeckShieldAlert The SquidRouterModule has been exploited for ~$3M in assets.
The exploiter, who was originally funded with 2.1 $ETH from #TornadoCash, has swapped the stolen funds for ~3M $DAI. The stolen assets are currently sitting in the exploiter's wallet 0xA447…54859 pic.twitter.com/RAmpIZQhQh

— PeckShieldAlert (@PeckShieldAlert) May 25, 2026

Squid vừa gọi vốn trước sự cố

Đáng chú ý, Squid mới đây vừa công bố hoàn thành vòng gọi vốn chiến lược trị giá 6 triệu USD với sự tham gia của North Island Ventures, Ripple, Dialectic và Borderless.

Dự án cho biết đã thực hiện 9 đợt kiểm toán bảo mật độc lập và chưa từng ghi nhận exploit với hệ thống cốt lõi.

Đồng sáng lập Fig trước đó cũng khẳng định Squid duy trì uptime ở mức 99,99% và sẵn sàng hỗ trợ các dự án muốn xây dựng hạ tầng cross-chain an toàn hơn.

Dù vậy, sự cố lần này tiếp tục cho thấy ngay cả khi giao thức chính không bị tấn công trực tiếp, các sản phẩm tích hợp bên ngoài vẫn có thể trở thành mắt xích yếu khiến hệ sinh thái crypto đối mặt thiệt hại lớn.