開場
根據安全公司 Blockaid 和 PeckShield 的說法，第三方 Gnosis Safe 模組在 Ethereum 與 Base 上遭到利用，約在兩小時內從 86 個 Safes 中竊取了約 320 萬美元。Basescan 上以「SquidRouterModule」名義驗證的有漏洞合約，並非由跨鏈協議 Squid 建置、部署或操作。Squid 聯合創辦人 Fig 在 X 上澄清：「名為 SquidRouterModule 的合約與 Squid 無關。我們目前還不知道是誰編寫或部署了這個。」此項攻擊成功是因為該模組接受由呼叫者提供的常數字串作為訊息安全的證明，使攻擊者能在未取得簽名的情況下執行任意 calldata，並花用受害者 Safes 內持有的代幣。此次事件反映了 DeFi 領域持續存在的安全漏洞；該領域在 2026 年已累計記錄超過 7.7 億美元的損失，其中僅 4 月就出現約 30 起事件，且被竊走超過 6.3 億美元。
漏洞機制
有漏洞的 SquidRouterModule 接受由呼叫者提供的常數字串，作為訊息安全的密碼學證明。透過傳入這個字串，攻擊者即可執行任意 calldata，並在不需要有效簽名的情況下存取受害者 Safes 中的任何代幣。
根據 Squid 的官方聲明，該合約的核心路由在架構上與此次攻擊完全分離，且未遭到影響；該專案也強調，早期公開報導中提及「SquidRouter」在技術上是不精確的。該合約雖然同樣使用 Squid 名稱，但它是一個第三方產品，選擇在其他協議之中與 Squid 進行整合，並且與團隊沒有任何聯繫。
攻擊者的方法與資金軌跡
根據 Blockaid 的說法，攻擊者部署了基於 Foundry 的利用合約，呼叫模組的 DelegateBundler 路徑；攻擊者假冒每個 Safe 上的已授權委任者，並透過 Uniswap V3 池觸發任意交換（swap）。
目標資產透過攻擊者預先建立並植入資金的 Uniswap V3 池進行交換，進而換成一種毫無價值的攻擊者自創代幣，名為「u」。接著，攻擊者從池中移除流動性，並將所得款項整合為約 307 萬 DAI；目前這些資金由一個開頭為「0xa447...54859」的錢包持有，這點由 PeckShield 指出。
PeckShield 識別出，該駭客（exploiter）最初投入的 2.1 ETH 資金來自 Tornado Cash。
Squid 的回應
Squid 表示，儘管該合約使用 Squid 名稱，但它是與該協議無關的第三方產品。Fig 的聲明強調該專案不涉及其中：「我們目前還不知道是誰編寫或部署了這個。」Squid 的官方 X 頁面也補充稱，其核心路由在架構上分離，且未遭到影響。
Squid 近期資金與安全宣稱
Squid 最近宣布了一輪 600 萬美元的策略性融資，由 North Island Ventures 領投，參與方包括 Ripple、Dialectic 與 Borderless。
在討論該筆資金時，Squid 的 Fig 告訴 The Block，該專案截至目前已完成 9 次獨立安全審計，未記錄任何漏洞利用，並維持 99.99% 的正常運作時間。當被問到 Squid 是否正在考慮在市場其他地方出現安全問題後，為重新評估其跨鏈基礎設施的專案提供服務時，Fig 表示該平台樂於與尋求安全連接的團隊進行對話。
2026 年 DeFi 領域損失
跨鏈互通仍是加密領域中最困難的方向之一；多年來該產業發生多起橋接（bridge）遭利用與安全事件。The Block 的資料儀表板顯示，DeFi 在 2026 年已累計記錄超過 7.7 億美元的損失；其中僅 4 月就創下約 30 起事件的紀錄，且被竊走超過 6.3 億美元。
