Des chercheurs en sécurité ont révélé qu'un contrat de coffre non identifié sur Base, un réseau de couche 2 d'Ethereum incubé par Coinbase, a perdu environ 6 millions de dollars après que des attaquants ont exploité des faiblesses dans sa liste blanche et ses contrôles multisignature. L'incident a été mis au jour le 4 octobre, lorsque la société de sécurité blockchain Blockaid a identifié des retraits inhabituels depuis le contrat. En à peine 40 minutes, la perte estimée est passée de 2,02 millions de dollars à environ 6 millions de dollars.

Selon GoPlus, PeckShield, CertiK et Exvul, l'attaquant a emprunté 1 783,067 aBaswstETH au coffre et échangé les tokens de reçu Aave contre environ 1 783 wstETH. aBaswstETH représente de l'Ether mis en jeu et wrappé fourni au marché Base d'Aave, avec le wstETH — la forme wrappée de l'Ether mis en jeu de Lido — comme actif sous-jacent.

GoPlus Security Alert : sur Base, un contrat de coffre qu'aucune équipe de projet n'a publiquement revendiqué a été attaqué. 1 783,067 aBaswstETH ont été retirés, puis échangés sur Aave V3 contre environ 1 783 wstETH. La perte est d'environ 6 millions de dollars. Le coffre détient une position sur Aave V3 Base, dimensionnée en dizaines de… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert Il apparaît que 0x0B5126…B034 a drainé 1 783 $wstETH (~6 M$) sur #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

Le vol n'a pas été causé par une vulnérabilité dans les contrats de prêt principaux d'Aave ni dans le réseau Base lui-même. Les enquêteurs l'ont plutôt lié à une défaillance de la gouvernance multisignature et des contrôles d'accès du coffre. Un contrat nouvellement créé a été ajouté à la liste d'emprunt autorisée du coff via une transaction multisignature Safe. Des contrôles de liste blanche comme celui-ci sont conçus pour restreindre les contrats pouvant déplacer la position d'un coffre ; l'exploitation a ainsi transformé un mécanisme de protection en vecteur d'attaque. Une fois inscrit sur la liste blanche, le contrat a pu emprunter la position Aave du coffre et échanger les actifs sous-jacents.

Le propriétaire opérationnel du coffre est un Safe de trois sur sept créé via Safe Proxy Factory 1.4.1, une configuration dans laquelle trois quelconques des sept adresses signataires doivent approuver une transaction avant son exécution. Safe est un cadre de portefeuille multisignature largement utilisé dans la finance décentralisée, ce qui fait de la sécurité opérationnelle des clés des signataires une dépendance partagée pour de nombreux protocoles et trésoreries. Sept adresses signataires contrôlent le compte, mais leurs identités n'ont pas été établies publiquement. Les enquêteurs peuvent retracer les transactions on-chain, mais les registres blockchain seuls ne permettent pas de déterminer si la mise à jour de la liste blanche résulte d'identifiants volés, d'une ingénierie sociale, d'une menace interne ou d'une autre défaillance de gouvernance.

Fait notable, le Safe n'avait exécuté aucune transaction sur le coffre pendant 25 jours avant que deux transactions ne soient effectuées pendant l'attaque. Cette activité soudaine peut indiquer que les signataires ont été manipulés ou qu'une partie interne a approuvé le changement. Aucune société de sécurité n'a publiquement confirmé laquelle de ces explications est correcte.

Absence de propriétaire identifié et exposition restante

L'absence de propriétaire connu a compliqué la réponse. Aucune équipe de projet n'a publiquement reconnu le coffre, annoncé un plan de remédiation ni expliqué comment l'ajout non autorisé à la liste blanche a été approuvé. Cette absence prive également la voie habituelle de récupération consistant à négocier une prime avec une équipe identifiée de contrepartie. Le coffre est un proxy transparent OpenZeppelin — un modèle de proxy dans lequel l'adresse du coffre délègue les appels à un contrat d'implémentation séparé — avec une autorité de mise à niveau distincte, ajoutant une couche contractuelle supplémentaire entre le détenteur d'actifs et le contrôleur ultime.

Environ 31,7 millions de dollars d'actifs resteraient dans le coffre après le retrait. Un utilisateur on-chain non identifié a ensuite envoyé un message à l'attaquant l'encourageant à retirer les fonds restants et demandant une commission, mais aucune réponse publiquement vérifiée n'a été enregistrée.

Pour l'instant, le risque systémique direct semble limité, car le déploiement d'Aave sur Base et la blockchain sous-jacente ne sont pas restés affectés. Néanmoins, cet épisode illustre comment des fonctions d'administration privilégiées peuvent créer un risque supérieur à celui des contrats intelligents qu'elles gouvernent. L'approbation multisignature seule ne garantit pas la sécurité lorsque les identités des signataires, les procédures de revue des transactions et les contrôles internes sont faibles.

L'incident attire également l'attention sur la liquidité du wstETH. La vente d'environ 1 783 wstETH pourrait créer une pression de marché à court terme, bien qu'il n'ait pas été démontré que l'ancrage global du token de reçu soit menacé. De plus amples détails pourraient émerger si les signataires du Safe, l'organisation contrôlant le coffre ou l'attaquant se manifestent publiquement. En attendant, le sort des environ 31,7 millions de dollars rest peut être suivi directement on-chain.

Source : Metaverse Post