Ataque Relâmpago: Módulo Explora Falha e Drena Milhões em Minutos, Enquanto Protocolo Comemorava Rodada Milionária

Imediatamente, a Squid se apressou em se distanciar do módulo explorado, afirmando que o SquidRouterModule era um componente de terceiros para Gnosis Safe e que a empresa "não o desenvolveu, implementou ou operou" . Os fundos roubados, trocados por DAI, permanecem na carteira do invasor até o momento, sem que nenhum congelamento ou recuperação tenha sido relatado .

Anatomia do Golpe: Como a Proteção da Gnosis Safe Foi Burlada

O ataque mirou uma vulnerabilidade na função executeSameChainActions() do módulo SquidRouterModule. Basicamente, a função aceitava dados arbitrários e usava uma verificação de string fixa que os invasores conseguiam replicar com facilidade . A execução técnica se desenrolou em quatro etapas, como um passo a passo digital:

1. Contratos de troca falsos: O invasor criou pools de liquidez na Uniswap V3 que pareciam legítimos, mas estavam sob seu total controle .
2. Desvio de aprovação: O módulo vulnerável permitiu que o invasor se passasse por delegados autorizados, contornando as verificações de assinatura múltipla (multi-sig), que são a base da segurança das carteiras Gnosis Safe .
3. Drenagem veloz: Em aproximadamente duas horas, as 86 carteiras foram esvaziadas nas redes Ethereum e Base .
4. Consolidação: Todos os tokens roubados foram trocados por DAI e enviados para uma única carteira controlada pelo invasor, que hoje detém cerca de 3,07 milhões de DAI .

Esse vetor de ataque é diferente de outros grandes golpes de 2026. Desta vez, o criminoso não precisou forjar mensagens entre blockchains, um método comum em ataques a pontes. Em vez disso, abusou da permissão de um módulo de terceiros para sobrepujar a segurança da carteira . É como se alguém instalasse uma fechadura extra na sua porta, mas que pudesse ser aberta por qualquer chave mestra.

A Janela de 72 Horas: Do Brinde ao Prejuízo

O ataque ao SquidRouterModule não poderia ter ocorrido em um momento mais sensível para a marca Squid. A diferença de poucos dias entre a comemoração e o alerta de segurança gerou grande confusão:

• 22 de maio de 2026: A Squid anuncia uma rodada estratégica de US$ 6 milhões, elevando seu financiamento total para US$ 13,5 milhões. O plano era usar o capital para expandir produtos voltados ao consumidor final em sua infraestrutura cross-chain .
• 25 de maio de 2026: A Blockaid acende o alerta sobre o exploit do SquidRouterModule, causando uma associação negativa imediata no mercado de criptomoedas .

Em poucas horas, a Squid usou todos os seus canais para esclarecer que o contrato comprometido era "não relacionado à Squid" e arquiteturalmente distinto de seu protocolo de roteamento principal . A empresa enfatizou que os fundos dos seus usuários e os contratos do seu núcleo de operação não foram afetados . Essa defesa de marca foi crucial, pois o nome do módulo criava uma associação inevitável com a empresa .

2026: O Ano em que as Pontes Desabaram

O incidente com o SquidRouterModule é a ponta de um iceberg que fez de 2026 o pior ano da história para a segurança de pontes cross-chain (bridges). Essas pontes são como estradas que permitem que ativos digitais transitem entre diferentes blockchains (por exemplo, do Ethereum para a Solana), e se tornaram o principal alvo dos hackers.

Segundo a firma de segurança PeckShield, até meados de maio de 2026, oito grandes ataques a pontes já haviam resultado em um rombo combinado de US$ 328,6 milhões . Somando todas as categorias de crimes com criptomoedas, o prejuízo total já passava de US$ 750 milhões em maio, com as pontes sendo o vetor de ataque mais significativo .

Os padrões de ataque variam, mas revelam fraquezas recorrentes. Mensagens forjadas entre blockchains viabilizaram os maiores golpes, como o da KelpDAO, onde criminosos criaram 116.500 tokens falsos do nada . Já o ataque ao SquidRouterModule adiciona um novo padrão: o abuso de permissões de módulos de terceiros para escapar de estruturas de segurança já estabelecidas . Para o usuário comum de Gnosis Safe, a lição é clara: cada módulo adicionado expande a superfície de ataque, e uma falha nesse módulo pode anular a proteção multi-sig que torna a carteira segura.

Situação Atual dos Fundos Roubados

Até os últimos relatórios de 25 e 26 de maio de 2026, as criptomoedas roubadas, no valor de 3,07 milhões de DAI, permanecem na carteira do invasor. Não houve nenhum relato de recuperação, congelamento ou devolução dos fundos . O endereço usado no ataque foi financiado pelo Tornado Cash, um misturador de criptomoedas frequentemente usado em crimes DeFi para esconder a origem dos recursos . Até o momento, nenhuma prisão ou movimentação significativa dos fundos foi divulgada publicamente.

Este incidente escancara um problema crônico nas finanças descentralizadas (DeFi): até mesmo infraestruturas de carteira bem auditadas podem ser comprometidas por um único módulo de terceiros que o usuário instala sem uma análise minuciosa de sua segurança.