SquidRouterModule हैक: 86 वॉलेट से 3 मिलियन डॉलर की चोरी, Squid की फंडिंग के बाद बड़ा झटका

25 मई, 2026 को, ब्लॉकचेन सिक्योरिटी फर्म Blockaid ने एक सक्रिय एक्सप्लॉइट का पता लगाया, जिसने एथेरियम और बेस नेटवर्क पर 86 ग्नोसिस सेफ वॉलेट से लगभग दो घंटों में लगभग 3 मिलियन डॉलर की राशि निकाल ली । हमलावर ने 'SquidRouterModule' नामक एक स्मार्ट कॉन्ट्रैक्ट को निशाना बनाया, चुराए गए टोकन को लगभग 3.07 मिलियन DAI में बदल दिया, और फंड्स को एक ही वॉलेट में समेकित कर दिया । यह समय विशेष रूप से अजीब था: यह घटना क्रॉस-चेन प्रोटोकॉल Squid द्वारा North Island Ventures के नेतृत्व में और Ripple जैसे निवेशकों की भागीदारी के साथ 6 मिलियन डॉलर के रणनीतिक फंडिंग राउंड की सार्वजनिक घोषणा के ठीक तीन दिन बाद हुई ।

Squid ने तुरंत अपने मुख्य रूटिंग प्रोटोकॉल को शोषित मॉड्यूल से दूर रखते हुए कहा कि SquidRouterModule एक तीसरे पक्ष का ग्नोसिस सेफ मॉड्यूल था, जिसे उसने विकसित, तैनात या संचालित नहीं किया । हमलावर ने Tornado Cash के जरिए एक्सप्लॉइट एड्रेस को फंड किया था, और नवीनतम रिपोर्टों के अनुसार चुराई गई DAI अभी भी उसके वॉलेट में है, न तो फ्रीज किया गया है और न ही बरामद किया जा सका है ।

कैसे इस एक्सप्लॉइट ने ग्नोसिस सेफ की सुरक्षा को बायपास किया

हमले का केंद्र SquidRouterModule के executeSameChainActions() फंक्शन की एक कमजोरी थी, जो मनमाने कॉलडाटा को स्वीकार करता था और एक फिक्स्ड-स्ट्रिंग वेरिफिकेशन का उपयोग करता था, जिसका हमलावर आसानी से पुन: उपयोग कर सकते थे । तकनीकी क्रम चार तीव्र चरणों में सामने आया:

1. नकली स्वैप कॉन्ट्रैक्ट: हमलावर ने Uniswap V3 लिक्विडिटी पूल तैनात किए जो वैध दिखते थे, लेकिन पूरी तरह से उसके नियंत्रण में थे ।
2. अनुमोदन बायपास: कमजोर मॉड्यूल ने हमलावर को अधिकृत प्रतिनिधियों (डेलिगेट्स) का रूप धारण करने दिया, जिससे उसने ग्नोसिस सेफ के मूल मल्टी-सिग्नेचर अनुमोदन जांच को दरकिनार कर दिया ।
3. त्वरित निकासी: लगभग दो घंटों में, एथेरियम और बेस पर 86 सेफ़ वॉलेटों को तेज़ी से खाली कर दिया गया ।
4. समेकन: सभी चुराए गए टोकन को DAI में बदलकर हमलावर के नियंत्रण वाले एक ही वॉलेट में भेज दिया गया, जिसमें लगभग 3.07 मिलियन DAI थी ।

यह विशिष्ट हमला—एक तीसरे पक्ष के मॉड्यूल की कमजोर वेरिफिकेशन का दुरुपयोग करके वॉलेट सुरक्षा को ओवरराइड करना—2026 के अन्य प्रमुख एक्सप्लॉइट्स से अलग है, जो मुख्य रूप से जाली क्रॉस-चेन संदेशों पर निर्भर थे ।

तीन दिन का अजीब अंतर: फंडिंग का जश्न और हमले की टेंशन

SquidRouterModule एक्सप्लॉइट Squid ब्रांड के लिए एक विशेष रूप से संवेदनशील क्षण में आया:

• 22 मई, 2026: Squid ने 6 मिलियन डॉलर के रणनीतिक दौर की घोषणा की, जिससे उसकी कुल फंडिंग 13.5 मिलियन डॉलर हो गई, और उसने उपभोक्ता-सामना करने वाले क्रॉस-चेन उत्पादों के विस्तार की योजना बनाई ।
• 25 मई, 2026: Blockaid ने SquidRouterModule एक्सप्लॉइट को चिह्नित किया, जिससे क्रिप्टो समुदाय में तत्काल ब्रांड भ्रम पैदा हो गया ।

Squid ने कुछ घंटों के भीतर प्रतिक्रिया देते हुए, कई चैनलों के माध्यम से स्पष्ट किया कि समझौता किया गया मॉड्यूल "Squid से असंबंधित" था और संरचनात्मक रूप से उसके मुख्य क्रॉस-चेन रूटिंग कॉन्ट्रैक्ट्स से अलग था । कंपनी ने जोर देकर कहा कि Squid का कोई भी उपयोगकर्ता फंड या मुख्य प्रोटोकॉल कॉन्ट्रैक्ट प्रभावित नहीं हुआ । यह तीव्र ब्रांड बचाव इसलिए आवश्यक था क्योंकि मॉड्यूल के नाम ने सार्वजनिक रिपोर्टिंग में सीधे Squid के साथ जुड़ाव बना दिया था ।

2026: क्रॉस-चेन ब्रिज एक्सप्लॉइट्स के लिए एक रिकॉर्ड वर्ष

SquidRouterModule की घटना क्रॉस-चेन हमलों की एक विनाशकारी श्रृंखला में नवीनतम है, जिसने 2026 को ब्रिज सुरक्षा के लिए अब तक का सबसे खराब वर्ष बना दिया है:

दिनांक	घटना	अनुमानित नुकसान
फरवरी 2026	CrossCurve हैक	~$3 मिलियन
21 फरवरी, 2026	IoTeX ioTube ब्रिज	~$4.3 मिलियन
1 अप्रैल, 2026	Drift Protocol एक्सप्लॉइट	~$285 मिलियन
18 अप्रैल, 2026	KelpDAO ब्रिज एक्सप्लॉइट	~$292 मिलियन
29 अप्रैल, 2026	Syndicate Commons ब्रिज	~$330,000-$400,000 (प्लस ~35% टोकन मूल्य गिरावट)
18 मई, 2026	Verus-Ethereum ब्रिज	~$11.6 मिलियन
25 मई, 2026	SquidRouterModule	~$3 मिलियन

ब्लॉकचेन सिक्योरिटी फर्म PeckShield के अनुसार, मई 2026 के मध्य तक आठ प्रमुख ब्रिज-संबंधी हैक्स ने क्रॉस-चेन प्रोटोकॉल से कुल मिलाकर 328.6 मिलियन डॉलर चुरा लिए थे । मई के अंत तक सभी श्रेणियों में क्रिप्टो हैक का कुल आंकड़ा 750 मिलियन डॉलर से अधिक हो गया, जिसमें ब्रिज सबसे बड़े हमले का कारण बने ।

हमले के पैटर्न अलग-अलग हैं, लेकिन बार-बार कमजोरियों को उजागर करते हैं। जाली क्रॉस-चेन संदेशों ने सबसे बड़े एक्सप्लॉइट्स को सक्षम किया, जिसमें KelpDAO हमला शामिल है जिसने 116,500 नकली rsETH टोकन मिंट किए और Verus ब्रिज हैक जिसने प्रोटोकॉल को अपने रिजर्व से फंड भेजने के लिए बरगलाया । निजी कुंजी (प्राइवेट की) से समझौता, जैसा कि IoTeX ioTube ब्रिज हमले में देखा गया, और स्मार्ट कॉन्ट्रैक्ट लॉजिक की खामियां, जैसा कि CrossCurve हैक में हुआ, लगातार खतरे बने हुए हैं। SquidRouterModule एक्सप्लॉइट एक नया पैटर्न जोड़ता है: स्थापित सुरक्षा ढांचे को बायपास करने के लिए तीसरे पक्ष के वॉलेट मॉड्यूल की अनुमतियों का दुरुपयोग करना ।

चुराए गए फंड की वर्तमान स्थिति

25-26 मई, 2026 की नवीनतम उपलब्ध रिपोर्टों के अनुसार, लगभग 3.07 मिलियन DAI हमलावर के वॉलेट में बनी हुई है, जिसके फ्रीज़, रिकवरी या वापसी की कोई सूचना नहीं है । हमलावर के पते को Tornado Cash के माध्यम से फंड किया गया था, जो एक प्राइवेसी मिक्सर है, जिसका उपयोग आमतौर पर DeFi एक्सप्लॉइट्स में लेन-देन निधि के मूल को अस्पष्ट करने के लिए किया जाता है । किसी भी गिरफ्तारी या फंड मूवमेंट की सार्वजनिक रूप से सूचना नहीं दी गई है।

यह घटना DeFi सुरक्षा में एक निरंतर चुनौती को रेखांकित करती है: यहां तक कि अच्छी तरह से ऑडिट किए गए वॉलेट इंफ्रास्ट्रक्चर से भी तीसरे पक्ष के मॉड्यूल के माध्यम से समझौता किया जा सकता है, जिन्हें उपयोगकर्ता अपने सुरक्षा गुणों की पूरी तरह से जांच किए बिना एकीकृत करते हैं। ग्नोसिस सेफ उपयोगकर्ताओं के लिए, सबक स्पष्ट है—एक सेफ में जोड़ा गया हर मॉड्यूल हमले की सतह का विस्तार करता है, और मॉड्यूल की कमजोरियां मल्टी-सिग्नेचर सुरक्षा को ओवरराइड कर सकती हैं जो अन्यथा सेफ को सुरक्षित बनाती हैं।