セキュリティ研究者らが、Coinbaseが育成したEthereumレイヤー2ネットワークBase上の正体不明のVaultコントラクトが、ホワイトリストおよびマルチシグネチャ管理の弱点を攻撃者に悪用され、約600万ドルの損失を被ったことを明らかにしました。事件は10月4日、ブロックチェーンセキュリティ企業Blockaidが同コントラクトからの不審な出金を特定したことで発覚しました。約40分の間に、推定損失額は202万ドルから約600万ドルへと拡大しました。

GoPlus、PeckShield、CertiK、Exvulの報告によると、攻撃者はVaultから1,783.067 aBaswstETHを借用し、Aaveのレシートトークンを約1,783 wstETHとして引き出しました。aBaswstETHは、AaveのBase市場に供給されたラップ済みステークドイーサ（wstETH）を表しており、その基礎資産はLidoのステークドイーサをラップしたwstETHです。

GoPlus Security Alert: On Base, a vault contract that no project team has publicly claimed was hit. 1,783.067 aBaswstETH was taken out, then redeemed on Aave V3 for about 1,783 wstETH. Loss is roughly $6 million. The vault holds a position on Aave V3 Base, sized in the tens… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert It appears that 0x0B5126…B034 has drained 1,783 $wstETH (~$6M) on #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

今回の窃取は、Aaveのコア貸借コントラクトやBaseネットワーク自体の脆弱によるものではありませんでした。代わりに調査当局は、Vaultのマルチシグネチャガバナンスとアクセス制御の不備に原因があると特定しました。新たに作成されたコントラクトが、Safeのマルチシグネチャトランザクションを通じてVaultの借入許可リストに追加されました。このような許可リスト制御は、どのコントラクトがVaultのポジションを動かせるかを制限するために設計されており、今回の攻撃は事実上、保護メカニズムを攻撃経路へと転換させるものとなりました。ホワイトリストに登録されると、当該コントラクトはVaultのAaveポジションを借用し、基礎資産を引き出すことが可能となりました。

Vaultの運用オーナーは、Safe Proxy Factory 1.4.1を通じて作成された七分の三のSafeであり、これは7つの署名者アドレスのうち任意の3つがトランザクションを承認しなければ実行されない構成です。Safeは分散型金融で広く利用されているマルチシグネチャウォレットフレームワークであり、署名者鍵の運用セキュリティは多くのプロトコルや財務にとって共通の依存要素となっています。7つの署名者アドレスがアカウントを管理していますが、その身元は公表されていません。調査当局はオンチェーンのトランザクションを追跡できますが、ブロックチェーンの記録だけでは、ホワイトリストの更新が盗まれた認証情報、ソーシャルエンジニアリング、内部者によるもの、あるいは他のガバナンス不備によるものかを判断できません。

特筆すべきは、当該Safeが攻撃中に2件のトランザクションが実行されるまで、25日間Vault上でトランザクションを実行していなかったことです。この突発的な活動は、署名者が操作されたか、内部者が変更を承認した可能性を示唆しています。どの説明が正しいかを公に確認したセキュリティ企業はまだありません。

所有者不明と残存エクスポージャー

既知の所有者が存在しないことが、対応を複雑にしています。Vaultを公に認知し、修復計画を発表し、不正なホワイトリスト追加がどのように承認されたかを説明したプロジェクトチームはありません。この不在により、特定可能なチームと報奨金を交渉するという通常の回収ルートも、交渉相手がいない状態となっています。当該VaultはOpenZeppelinのトランスペアレントプロキシ（Vaultアドレスが別の実コントラクトに呼び出しを委譲するプロキシパターン）であり、別個のアップグレード権限を持つため、資産保有者と最終的な管理者の間にさらなるコントラクト層が追加されています。

出金後も約3,170万ドルの資産がVaultに残されていると報じられています。後日、正体不明のオンチェーンユーザーが攻撃者にメッセージを送り、残りの資金を引き出すよう促し報奨を求めましたが、公に検証された応答はありません。

現時点では、AaveのBase展開と基盤となるブロックチェーンが影響を受けていないため、直接的なシステミックリスクは限定的と見られます。それでもなお、この一件は、特権的な管理機能がその管理対象であるスマートコントラクト以上のリスクを生み出しうることを示しています。署名者の身元、トランザクション審査手順、内部統制が脆弱な状況では、マルチシグネチャによる承認だけではセキュリティを保証できません。

この事件は、wstETHの流動性にも注意を向けています。約1,783 wstETHの売却は短期的な市場圧力を生む可能性がありますが、レシートトークン全体のペッグがリスクに晒されていることは示されていません。Safeの署名者、Vaultを管理する組織、あるいは攻撃者自身が公に名乗り出れば、さらなる詳細が判明する可能性があります。それまでの間、残る約3,170万ドルが手つかずのままかどうかは、オンチェーンで直接追跡することができます。

出典：Metaverse Post