月曜日、Gnosisの共同創設者兼CEOであるMartin Koppelmannは、Zodiacのディレイ（遅延）モジュールを含む「Gnosis Pay」を標的にしたアクティブなエクスプロイト（悪用）の発生を確認した。攻撃は、実行前にトランザクションをキューに積める権限レイヤーを悪用し、モジュールを搭載したSafeウォレットから攻撃者がトランザクションを開始できるようにした。Koppelmannは、Gnosisがすべてのユーザー損失を補償すると述べ、封じ込めの取り組みの一環としてbridge validatorsに停止を求めた。ブロックチェーンのセキュリティ企業PeckShieldはこのエクスプロイトを指摘し、ユーザーに自らのエクスポージャーを確認するよう警告した。この件はその後、数日前に別のエクスプロイトで、脆弱なサードパーティ製モジュールを介して86件のGnosis Safeウォレットから320万ドルが流出した事件に続くものである。
Zodiacディレイ・モジュールの脆弱性が取引の悪用を可能にする
この攻撃は、実行前にトランザクションをキューに積める権限レイヤーであるZodiacディレイ・モジュールを悪用した。Koppelmannは、攻撃者がそのようなモジュールを搭載したSafeウォレットからトランザクションを開始できると述べた。流出の規模や、資金がすでに失われているかどうかは、直ちには確認されていない。
Gnosisはbridge validatorsの停止を要請し、全額のユーザー返金を約束
「残念ながら、Gnosis Payと『delay module（遅延モジュール）』に関するハックがあります。損害を封じ込めるために対応を進めている間、しばらくお待ちください。安心してください、Gnosisはすべてのユーザー損失を補償します」—KoppelmannはXにそう書き込んだ。Gnosisは封じ込め対応の一環として、bridge validatorsに停止を求めている。Koppelmannは以前、すべてのGnosis Payユーザーに対しEUReとGNOを直ちに引き出すよう促す注意喚起を投稿していたが、更新された声明の前にその投稿を削除していた。「資金を引き出すよう求めた以前のツイートを削除しました」とKoppelmannは述べた。「多くのユーザーはそれを行えないでしょうが、私たちは損害を封じ込めるために積極的に作業しています。大部分は封じ込められると考えており、いずれにしてもすべてのユーザーが損害を取り戻せるようにします。」
Gnosis Payは2022年以降、Safeとは別の存在として設計された
Gnosis Payは、Koppelmannが共同創設したイーサリアム基盤組織Gnosisの製品であり、Safe—旧称Gnosis Safe—とは混同すべきではない。Safeは2022年にGnosisから分離して独立した組織となっており、その際に1億ドルを調達している。両者は引き続き密接に結びついている。Gnosis PayはSafeのスマートコントラクト・ウォレット基盤の上に構築されており、すべてのGnosis Payカードの基盤となる自己保有（セルフカストディ）のウォレットをSafeが保護している。月曜日に指摘されたディレイ・モジュールの不具合は、Safeの中核コントラクトではなく、Gnosis Payのシステム内にある。
SquidRouterModuleのエクスプロイトで320万ドルが現在の事案の数日前に流出
この注意喚起は、別のエクスプロイトで320万ドルが、脆弱なサードパーティ製モジュール「SquidRouterModule」を介して86件のGnosis Safeウォレットから流出してから数日後に届いた。該当した事案では、非公式モジュールにおける身元確認の検証が弱かったため、攻撃者はウォレットの署名を不要として任意のcalldataを実行できた。
よくある質問（FAQ）
Martin Koppelmannは月曜日にどのようなエクスプロイトを確認したのですか？
Martin Koppelmannは月曜日、Zodiacのディレイ・モジュールが関わることで実行前にトランザクションをキューに積める「Gnosis Pay」を標的にしたアクティブなエクスプロイトの発生を確認した。
GnosisはGnosis Payのエクスプロイトにどう対応していますか？
Gnosisはすべてのユーザー損失を補償し、封じ込めの取り組みの一環としてbridge validatorsに停止を求めるとした。Koppelmannは、組織が損害を封じ込めるために現在も積極的に作業していると述べた。
Gnosis PayとSafeの関係は何ですか？
Gnosis Payは、Safeのスマートコントラクト・ウォレット基盤の上に構築されたGnosisの製品である。Safe（旧称Gnosis Safe）は、1億ドルを調達した後の2022年に独立した組織としてGnosisから分離した。
