Investigadores de seguridad revelaron que un contrato de bóveda no identificado en Base, una red de capa 2 de Ethereum incubada por Coinbase, perdió aproximadamente $6 millones después de que atacantes explotaran debilidades en su lista blanca y en sus controles de firma múltiple. El incidente salió a la luz el 4 de octubre, cuando la firma de seguridad blockchain Blockaid identificó retiros inusuales del contrato. En aproximadamente 40 minutos, la pérdida estimada pasó de $2.02 millones a unos $6 millones.

De acuerdo con GoPlus, PeckShield, CertiK y Exvul, el atacante tomó prestados 1,783.067 aBaswstETH de la bóveda y canjeó los tokens de recibo de Aave por aproximadamente 1,783 wstETH. aBaswstETH representa Ether en staking envuelto suministrado al mercado de Aave en Base, con wstETH —la forma envuelta del Ether en staking de Lido— como activo subyacente.

GoPlus Security Alert: On Base, a vault contract that no project team has publicly claimed was hit. 1,783.067 aBaswstETH was taken out, then redeemed on Aave V3 for about 1,783 wstETH. Loss is roughly $6 million. The vault holds a position on Aave V3 Base, sized in the tens… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert It appears that 0x0B5126…B034 has drained 1,783 $wstETH (~$6M) on #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

El robo no fue causado por una vulnerabilidad en los contratos principales de préstamos de Aave ni en la red Base. En cambio, los investigadores lo vincularon a una falla relacionada con la gobernanza multisignature y los controles de acceso de la bóveda. Un contrato recién creado fue agregado a la lista de permitidos de préstamos de la bóveda mediante una transacción multisignature de Safe. Los controles de este tipo están diseñados para restringir qué contratos pueden mover la posición de una bóveda, por lo que el exploit convirtió effectively un mecanismo de protección en la vía de ataque. Una vez incluido en la lista blanca, el contrato pudo tomar prestada la posición de Aave de la bóveda y canj los activos subyacentes.

El propietario operativo de la bóveda es una Safe de tres de siete creada mediante Safe Proxy Factory 1.4.1, una configuración en la que cualquier tres de las siete direcciones firmantes deben aprobar una transacción antes de que se ejecute. Safe es un marco de billeteras multisignature ampliamente utilizado en las finanzas descentralizadas, lo que convierte la seguridad operativa de las claves de los firmantes en una dependencia compartida para muchos protocolos y tesorerías. Siete direcciones firmantes controlan la cuenta, pero sus identidades no han sido establecidas públicamente. Los investigadores pueden rastrear las transacciones en cadena, pero los registros de blockchain por sí solos no permiten determinar si la actualización de la lista blanca fue resultado de credenciales robadas, ingeniería social, una amenaza interna u otra falla de gobernanza.

Cabe destacar que la Safe no había ejecutado una transacción en la bóveda durante 25 días antes de que se completaran dos transacciones durante el ataque. Esta actividad podría indicar que los firmantes fueron manipulados o que una parte interna aprobó el cambio. Ninguna firma de seguridad ha confirmado públicamente cuál explicación es la correcta.

Propiedad no reclamada y exposición restante

La falta de un propietario conocido ha complicado la respuesta. Ningún equipo de proyecto ha reconocido públicamente la bóveda, anunciado un plan de remediación ni explicado cómo se aprobó la adición no autorizada a la lista blanca. Esa ausencia también deja la vía habitual de recuperación —negociar una recompensa con un equipo identificado— sin contraparte. La bóveda es un proxy transparente de OpenZeppelin —un patrón de proxy en el que la dirección de la bóveda delega las llamadas a un contrato de implementación separado— con una autoridad de actualización independiente, lo que añade otra capa de contratos entre el poseedor de los activos y el controlador final.

Se reporta que aproximadamente $31.7 millones en activos permanecían en la bóveda tras el retiro. Posteriormente, un usuario anónimo en cadena envió al atacante un mensaje animándolo a retirar los fondos restantes y solicitando una propina, pero no ha habido una respuesta públicamente verificada.

Por ahora, el riesgo sistémico directo parece limitado, ya que el despliegue de Aave en Base y la blockchain subyacente no fueron afectados. No obstante, el episodio ilustra cómo las funciones administrativas privilegiadas pueden generar un riesgo mayor que los contratos inteligentes que gobiernan. La aprobación multisignature por sí sola no garantiza la seguridad cuando las identidades de los firmantes, los procedimientos de revisión de transacciones y los controles internos son débiles.

El incidente también pone atención sobre la liquidez de wstETH. Vender aproximadamente 1,783 wstETH podría generar presión de mercado a corto plazo, aunque no se ha demostrado que la paridad general del token de recibo esté en riesgo. Podrían surgir más detalles si los firmantes de la Safe, la organización que controla la bóveda o el atacante se identifican públicamente. Mientras tanto, si los aproximadamente $31.7 millones restantes permanecen intactos puede rastrearse directamente en cadena.

Fuente: Metaverse Post