Le piratage du module SquidRouter : 3 millions de dollars dérobés à 86 portefeuilles Gnosis Safe

Les actifs volés ont été rapidement convertis en environ 3,07 millions de DAI, un stablecoin adossé au dollar, puis consolidés dans un unique portefeuille contrôlé par le pirate . La rapidité et la précision de l'attaque ont semé la confusion, car le nom du module exploité ressemblait à s'y méprendre à celui du protocole cross-chain Squid.

Cet incident au timing malencontreux est survenu trois jours seulement après que Squid ait annoncé une levée de fonds stratégique de 6 millions de dollars, menée par North Island Ventures avec la participation notable de Ripple, visant à porter son financement total à 13,5 millions de dollars .

Squid prend ses distances : une clarification en urgence

Face au tollé, Squid a immédiatement réagi, s'employant à couper tout lien entre sa marque et le module compromis. La société a souligné que le contrat SquidRouterModule était un module Gnosis Safe tiers, qu'elle n'avait ni développé, ni déployé, ni opéré . Sa structure est radicalement différente des contrats de routage principaux de la plateforme. Squid a insisté sur le fait qu'aucun fonds d'utilisateur ni contrat de son protocole central n'avaient été affectés .

Cette défense réactive de la marque était indispensable : dans la communauté crypto, l'association d'idées était immédiate, et la désinformation risquait de nuire à une entreprise en pleine phase d'expansion.

Mécanique de l'attaque : comment 86 portefeuilles ont été siphonnés

L'attaque ne s'est pas attaquée de front au mécanisme de signature multiple (multisig) des Gnosis Safe, réputé robuste. Au lieu de cela, elle a exploité une faille bien plus insidieuse : la vulnérabilité d'un module logiciel tiers que les propriétaires de ces portefeuilles avaient ajouté.

Pour comprendre, un module dans un Gnosis Safe est comme une extension de navigateur qui ajoute des fonctionnalités. En accordant des permissions à ce module "SquidRouterModule", les utilisateurs lui ont, sans le savoir, ouvert une porte dérobée. Le déroulé technique s'est fait en quatre étapes :

1. Déploiement de leurres : Le pirate a créé de faux contrats d'échange sur la plateforme Uniswap V3 qui semblaient légitimes, mais qu'il contrôlait en réalité intégralement .
2. Contournement des sécurités : Le module vulnérable a permis au pirate d'usurper l'identité d'un délégué autorisé, contournant ainsi les vérifications d'approbation natives de Gnosis Safe . Autrement dit, il a pu agir comme le propriétaire du portefeuille sans fournir les signatures requises.
3. Ponction éclair : Pendant environ deux heures, 86 portefeuilles ont été vidés de leurs actifs sur les réseaux Ethereum et Base en une succession rapide .
4. Blanchiment et centralisation : Tous les jetons volés ont été échangés contre du DAI et envoyés vers une seule adresse contrôlée par l'attaquant, qui détient aujourd'hui près de 3,07 millions de DAI .

Cette technique — utiliser la faiblesse d'un module tiers pour passer outre la sécurité du portefeuille — diffère d'autres piratages majeurs de 2026, qui reposaient principalement sur la falsification de messages inter-chaînes .

2026 : une hécatombe pour les ponts cross-chain

L'affaire SquidRouterModule n'est que la dernière pièce d'un puzzle très inquiétant. L'année 2026 est de loin la plus meurtrière jamais enregistrée pour la sécurité des ponts cross-chain, ces infrastructures qui permettent de transférer des actifs numériques entre différentes blockchains. Selon la firme de sécurité PeckShield, huit piratages majeurs de ponts avaient déjà conduit au vol cumulé de 328,6 millions de dollars à la mi-mai .

Voici un récapitulatif des principaux sinistres de 2026 :

Les modes opératoires varient mais révèlent des faiblesses récurrentes. Les exploits les plus massifs, comme celui de KelpDAO, ont reposé sur la falsification de messages inter-chaînes, permettant de créer des jetons sans valeur réelle . D'autres, comme l'attaque du pont de l'IoTeX, ont impliqué la compromission de clés privées . Le piratage du SquidRouterModule introduit une nouvelle variante : l'abus des permissions d'un module de portefeuille tiers pour contourner des barrières de sécurité établies .

Où sont les fonds aujourd'hui ?

Selon les derniers rapports en date du 26 mai 2026, les fonds volés, soit environ 3,07 millions de DAI, demeurent dans le portefeuille de l'attaquant, sans qu'aucun gel, récupération ou restitution n'ait été signalé . L'adresse du pirate a été alimentée via Tornado Cash, un "mixeur" de cryptomonnaies souvent utilisé pour brouiller la traçabilité des fonds lors d'exploits DeFi .

Cet incident met en lumière une leçon brutale pour les utilisateurs de la DeFi : même une infrastructure de portefeuille bien auditée peut être compromise par un seul module tiers mal sécurisé. La robustesse d'un Gnosis Safe repose sur sa technologie de signature multiple, mais chaque module additionnel agrandit la surface d'attaque. La confiance accordée à ces extensions doit être aussi forte que celle placée dans le cœur du protocole.