安全研究人员披露，一个部署在Base（Coinbase孵化的以太坊Layer-2网络）上的身份不明金库合约遭攻击者利用其白名单和多签控制机制的弱点，损失约600万美元。该事件于10月4日曝光，区块链安全公司Blockaid发现该合约出现异常提款。在约40分钟内，估计损失从202万美元攀升至约600万美元。

据GoPlus、PeckShield、CertiK和Exvul报告，攻击者从该金库借出1,783.067 aBaswstETH，并将Aave凭证代币赎回为约1,783 wstETH。aBaswstETH代表存入Aave Base市场的包装质押以太坊，其底层资产为wstETH，即Lido质押以太坊的包装形式。

GoPlus安全警报：Base上一份没有任何项目团队公开认领的金库合约遭到攻击。1,783.067 aBaswstETH被取出，随后在Aave V3上赎回约1,783 wstETH。损失约为600万美元。该金库在Aave V3 Base上持有规模达数千万…… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) 2026年10月4日

#PeckShieldAlert 0x0B5126…B034似乎已在 #Base 上抽走1,783 $wstETH（约600万美元） pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) 2026年10月4日

此次盗取并非由Aave核心借贷合约或Base网络本身的漏洞引起。相反，调查人员将其归因于金库多签治理和访问控制机制的失效。一个新创建的合约通过一笔Safe多签交易被添加到金库的借贷白名单中。此类白名单控制机制的设计初衷是限制哪些合约可以移动金库头寸，因此这次攻击实际上将保护机制变成了攻击路径。一旦被列入白名单，该合约便能借出金库在Aave的头寸并赎回底层资产。

该金库的运营所有者是通过Safe Proxy Factory 1.4.1创建的一个七分之三Safe，即七名签名者地址中任意三名批准后交易方可执行。Safe是去中心化金融领域广泛使用的多签钱包框架，其签名者密钥的运营安全是众多协议和国库的共同依赖。七个签名者地址控制着该账户，但其身份尚未公开确认。调查人员可以追踪链上交易，但仅凭区块链记录无法确定白名单更新是由凭证被盗、社会工程攻击、内部威胁还是其他治理失效所致。

值得注意的是，在攻击期间完成两笔交易之前，该Safe已有25天未在金库上执行任何交易。这种突发活动可能表明签名者被操纵，或有内部人员批准了该变更。目前尚无安全公司公开确认哪种解释正确。

所有权无人认领与剩余敞口

所有者身份不明使应对工作变得复杂。没有任何项目团队公开承认该金库、宣布补救计划，或解释未经授权的白名单添加是如何获得批准的。这一缺失也使得与已确认团队谈判赏金这一惯常追回途径失去了对谈对象。该金库是一个OpenZeppelin透明代理，即金库地址将调用委托给单独实现合约的代理模式，并拥有独立的升级权限，在资产持有与最终控制者之间增加了另一层合约。

据报道，提款后金库中仍留有约3170万美元资产。随后，一名身份不明的链上用户向攻击者发送消息，鼓励其提取剩余资金并请求打赏，但目前尚无公开核实的回应。

就目前而言，由于Aave的Base部署和底层区块链未受影响，直接系统性风险似乎有限。然而，这一事件表明，特权管理功能可能比其管辖的智能合约带来更大的风险。当签名者身份、交易审查流程和内部控制薄弱时，仅靠多签批准并不能保证安全。

该事件也使wstETH流动性受到关注。抛售约1,783 wstETH可能造成短期市场压力，不过尚无证据表明该凭证代币的整体锚定面临风险。如果Safe签名者、金库的 controlling 组织或攻击者公开现身，可能会出现更多细节。与此同时，剩余约3170万美元是否保持不动，可以直接在链上追踪。

来源：Metaverse Post