Security-onderzoekers hebben onthuld dat een ongeïdentificeerd kluiscontract op Base, een door Coinbase gekweekt Ethereum layer-2-netwerk, ongeveer $6 miljoen verloor nadat aanvallers zwakke plekken in de whitelist en de multisignature-controles misbruikten. Het incident kwam aan het licht op 4 oktober, toen het blockchain-securitybedrijf Blockaid ongebruikelijke opnames van het contract opmerkte. Binnen ongeveer 40 minuten steeg de geschatte schade van $2,02 miljoen naar circa $6 miljoen.

Volgens GoPlus, PeckShield, CertiK en Exvul leende de aanvaller 1.783,067 aBaswstETH van de kluis en verzilverde de Aave-receipttokens voor circa 1.783 wstETH. aBaswstETH vertegenwoordigt wrapped staked Ether die is aangeboden op Aave's Base-markt, met wstETH — de wrapped vorm van Lido's staked Ether — als onderliggende asset.

GoPlus Security Alert: On Base, a vault contract that no project team has publicly claimed was hit. 1,783.067 aBaswstETH was taken out, then redeemed on Aave V3 for about 1,783 wstETH. Loss is roughly $6 million. The vault holds a position on Aave V3 Base, sized in the tens… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert It appears that 0x0B5126…B034 has drained 1,783 $wstETH (~$6M) on #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

De diefstal werd niet veroorzaakt door een kwetsbaarheid in Aave's kernleningcontracten of in het Base-netwerk zelf. In plaats daarvan koppelden onderzoekers de diefstal aan een falen van de multisignature-governance en toegangscontroles van de kluis. Een nieuw aangemaakt contract werd via een Safe-multisignaturetransactie toegevoegd aan de borrowing allowlist van de kluis. Allowlist-controles zoals deze zijn bedoeld om te beperken welke contracten de positie van een kluis kunnen verplaatsen, waardoor de exploit effectief een beschermend mechanisme omvormde tot het aanvalspad. Eenmaal gewhitelist kon het contract de Aave-posit van de kluis lenen en de onderliggende assets verzilveren.

De operationele eigenaar van de kluis is een three-of-seven Safe die is aangemaakt via Safe Proxy Factory 1.4.1, een configuratie waarin drie van de zeven signer-adressen een transactie moeten goedkeuren voordat deze wordt uitgevoerd. Safe is een multisignature-walletraamwerk dat veel wordt gebruikt in gedecentraliseerde financiën, waardoor de operationele beveiliging van signer-sleutels een gedeelde afhankelijkheid is voor veel protocollen en treasuries. Zeven signer-adressen beheren het account, maar hun identiteiten zijn niet openbaar vastgesteld. Onderzoekers kunnen de on-chain transacties traceren, maar alleen uit blockchain-gegevens kan niet worden afgeleid of de whitelistwijziging het gevolg was van gestolen inloggegevens, social engineering, een insiderdreiging of een ander governancefalen.

Opmerkelijk is dat de Safe gedurende 25 dagen geen transactie op de kluis had uitgevoerd voordat er tijdens de aanval twee transacties werden voltooid. Deze activiteit kan erop wijzen dat de signers zijn gemanipuleerd of dat een interne partij de wijziging heeft goedgekeurd. Geen enkel securitybedrijf heeft publiek bevestigd welke verklaring juist is.

Onaangegeven eigendom en resterende exposure

Het gebrek aan een bekende eigenaar heeft de respons bemoeilijkt. Geen enkel projectteam heeft de kluis publiek erkend, een herstelplan aangekondigd of uitgelegd hoe de ongeautoriseerde whitelisting is goedgekeurd. Door die afwezigheid ontbreekt ook een tegenpartij voor de gebruikelijke herstelroute van het onderhandelen over een bounty met een geïdentificeerd team. De kluis is een OpenZeppelin transparent proxy — een proxypatroon waarbij het kluisadres calls delegeert aan een apart implementatiecontract — met een afzonderlijke upgrade-autoriteit, wat een extra contractlaag toevoegt tussen de assethouder en de uiteindelijke beheerder.

Naar verluidt bleven na de opname ongeveer $31,7 miljoen aan assets in de kluis achter. Een onbekende on-chain gebruiker stuurde de aanvaller later een bericht om de resterende fondsen op te nemen en vroeg om een tip, maar er is geen publiek geverifieerd antwoord gekomen.

Voorlopig lijkt het directe systeemrisico beperkt, omdat Aave's Base-implementatie en de onderliggende blockchain onaangetast bleven. Desondanks illustreert het hoeven hoe bevoorrechte administratieve functies een groter risico kunnen creëren dan de slimme contracten die zij besturen. Multisignature-goedkeuring alleen garandeert geen beveiliging wanneer de identiteiten van signers, transactiebeoordelingsprocedures en interne controles zwak zijn.

Het incident vestigt ook de aandacht op de wstETH-liquiditeit. Het verkopen van circa 1.783 wstETH kan op korte termijn marktdruk veroorzaken, hoewel de bredere peg van de receipttoken niet in gevaar is gebleken. Meer details kunnen naar boven komen als de Safe-signers, de controlerende organisatie van de kluis of de aanvaller zich publiek identificeren In de tussentijd kan on-chain direct worden gevolgd of de resterende circa $31,7 miljoen onaangeroerd blijft.

Bron: Metaverse Post