Исследователи в области безопасности сообщили, что неизвестный хранилищный контракт в Base — сети второго уровня для Ethereum, созданной при участии Coinbase, — потерял около $6 млн после того, как злоумышленники воспользовались слабостями в его белом списке и механизмах мультиподписи. Инцидент стал известен 4 октября, когда блокчейн-компания Blockaid выявила необычные выводы средств с контракта. Примерно за 40 минут оценочный ущерб вырос с $2,02 млн до около $6 млн.

По данным GoPlus, PeckShield, CertiK и Exvul, атакующий занял у хранилища 1 783,067 aBaswstETH и погасил квитанционные токены Aave, получив примерно 1 783 wstETH. aBaswstETH представляет собой обернутый застейканный эфир, размещенный на рынке Aave в сети Base; базовым активом является wstETH — обернутая форма застейканного эфира Lido.

GoPlus Security Alert: On Base, a vault contract that no project team has publicly claimed was hit. 1,783.067 aBaswstETH was taken out, then redeemed on Aave V3 for about 1,783 wstETH. Loss is roughly $6 million. The vault holds a position on Aave V3 Base, sized in the tens… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert It appears that 0x0B5126…B034 has drained 1,783 $wstETH (~$6M) on #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

Кража не была вызвана уязвимостью в основных кредитных контрактах Aave или в самой сети Base. Вместо этого расследователи связали ее со сбоем в управлении мультиподписью и контроле доступа хранилища. Новый контракт был добавлен в список разрешенных для займов через транзакцию Safe с мультиподписью. Подобные списки доступа предназначены для ограничения того, какие контракты могут перемещать позицию хранилища, поэтому в ходе атаки защитный механизм фактически стал путем нападения. Попав в белый список, контракт смог занять позицию хранилища в Aave и погасить базовые активы.

Оперативным владельцем хранилища является Safe с порогом «три из семи», созданный через Safe Proxy Factory 1.4.1 — конфигурация, при которой любые три из семи адресов подписантов должны одобрить транзакцию до ее исполнения. Safe — это фреймворк мультиподписных кошельков, широко используемый в децентрализованных финансах, что делает операционную безопасность ключей подписантов общей зависимостью для многих протоколов казначейств. Семь адресов подписантов контролируют аккаунт, но их личности не установлены публично. Расследователи могут отследить транзакции в блокчейне, однако одни лишь блокчейн-данные не позволяют определить, произошла ли замена в белом списке из-за украденных учетных данных, социальной инженерии, угрозы изнутри или иного сбоя в управлении.

Примечательно, что Safe не исполнял транзакций с хранилищем в течение 25 дней до того, как во время атаки были завершены две транзакции. Такая внезапная активность может указывать на то, что подписантов ввели в заблуждение, либо на то, что изменение одобрило лицо изнутри. Ни одна компания в сфере безопасности публично не подтвердила, какое из объяснений верно.

Отсутствие заявленного владельца и оставшийся риск

Отсутствие известного владельца осложняет реагирование. Ни одна проектная команда публично не признала хранилище, не объявила план по устранению последствий и не объяснила, как было одобрено несанкционированное добавление в белый список. Это отсутствие также лишает привычный путь возврата средств — переговоры о вознаграждении с установленной командой — потенциального контрагента. Хранилище представляет собой прозрачный прокси OpenZeppelin — шаблон прокси, при котором адрес хранилища делегирует вызовы отдельному контракту реализации — с отдельным правом обновления, что добавляет еще один слой контрактов между держателем активов и конечным управляющим.

По имеющимся данным, после вывода средств в хранилище осталось активов примерно на $31,7 млн. Позже неизвестный пользователь в блокчейне отправил атакующему сообщение с призывом вывести оставшиеся средства и просьбой о вознаграждении, однако публично подтвержденного ответа не последовало.

На данный момент прямой системный риск представляется ограниченным, поскольку развертывание Aave в сети Base и сам блокчейн не пострадали. Тем не менее этот случай показывает, как привилегированные административные функции могут создавать больший риск, чем управляемые ими смарт-контракты. Одного лишь одобрения мультиподписью недостаточно для гарантии безопасности, когда личности подписантов, процедуры проверки транзакций и внутренний контроль слабы.

Инцидент также привлек внимание к ликвидности wstETH. Продажа примерно 1 783 wstETH может создать краткосрочное давление на рынок, хотя риск для более широкой привязки квитанционного токена не был продемонстрирован. Дополнительные подробности могут появиться, если подписанты Safe, организация, контролирующая хранилище, или атакующий публично назовут себя. Тем временем за тем, остаются ли нетронутыми оставшиеся примерно $31,7 млн, можно следить непосредственно в блокчейне.

Источник: Metaverse Post