Устаревшие approve опустошили Safe на Avalanche на $7,45 млн

26 октября 2026 года мультисиг 2-of-7 Safe на Avalanche C-Chain потерял около $7,45 млн из-за четырёх токеновых approve, выданных в марте адресу без кода. Атакующий развернул через CreateCall контракт по тому же адресу, но его транзакцию обогнал MEV-бот, вернувший большую часть средств за вознаграждение.

• Safe выдал бессрочные approve на WAVAX, USDC, WETH.e и BTC.b 7 марта 2026 года
• Через CreateCall атакующий получил контроль над адресом спендера и вызвал transferFrom
• MEV-бот скопировал атаку и оказался первым в блоке 98 605 391
• Выведено 3,09 млн USDC, 350 375 WAVAX, 181,98 WETH.e и 10,79 BTC.b