資安研究人員披露，Base 網路上（Coinbase 孵化的以太坊 Layer-2 網路）一個身份不明的金庫合約，在攻擊者利用其白名單與多簽控制弱點後損失約 600 萬美元。事件於 10 月 4 日曝光，區塊鏈資安公司 Blockaid 偵測到該合約的異常提款。在約 40 分鐘內，估計損失從 202 萬美元攀升至約 600 萬美元。

根據 GoPlus、PeckShield、CertiK 與 Exvul 的資料，攻擊者從金庫借出 1,783.067 aBaswstETH，並將 Aave 憑證代幣贖回為約 1,783 wstETH。aBaswstETH 代表存入 Aave Base 市場的封裝質押以太幣，其標的資產為 wstETH（Lido 質押以太幣的封裝形式）。

GoPlus Security Alert: On Base, a vault contract that no project team has publicly claimed was hit. 1,783.067 aBaswstETH was taken out, then redeemed on Aave V3 for about 1,783 wstETH. Loss is roughly $6 million. The vault holds a position on Aave V3 Base, sized in the tens… pic.twitter.com/v5yrcIIp5w
— GoPlus Security (@GoPlusSecurity) October 4, 2026

#PeckShieldAlert It appears that 0x0B5126…B034 has drained 1,783 $wstETH (~$6M) on #Base pic.twitter.com/zCd2VDst8t
— PeckShieldAlert (@PeckShieldAlert) October 4, 2026

此次竊案並非由 Aave 核心借貸合約或 Base 網路本身的漏洞造成。相反，調查人員將其歸因於金庫多簽治理與存取控制的失效。一個新建立的合約透過一筆 Safe 多簽交易被加入金庫的借款白名單。此類白名單控制機制的設計目的在於限制哪些合約可以移動金庫的倉位，因此這次漏洞攻擊實際上將保護機制轉變為攻擊途徑。一旦被列入白名單，該合約便能借出金庫在 Aave 的倉位並贖回標的資產。

金庫的營運所有者是透過 Safe Proxy Factory 1.4.1 建立的七分之三 Safe，這種配置要求七個簽署者地址中任意三個批准後交易才會執行Safe 是去中心化金融中廣泛使用的多簽錢包框架，使簽署者金鑰的營運安全成為眾多協議與財庫的共同依賴。七個簽署者地址控制著該帳戶，但其身分尚未被公開確認。調查人員可以追蹤鏈上交易，但僅憑區塊鏈紀錄無法判定白名單更新是由於憑證被竊、社交工程、內部威脅或其他治理失效所致。

值得注意的是，在攻擊期間兩筆交易完成之前，該 Safe 已有 25 天未在金庫上執行任何交易。此活動可能表明簽署者受到操縱，或有內部人員批准了此次變更。目前尚無資安公司公開證實哪種解釋正確。

所有權無人認領，剩餘資產暴露風險

缺乏已知所有者使應對工作更加複雜。沒有任何項目團隊公開承認該金庫、宣布補救計畫，或解釋未經授權的白名單新增是如何獲得批准的。這種缺席也使與已確認團隊協商賞金的常見追回途徑失去對話對象。該金庫是一個 OpenZeppelin 透明代理（一種金庫地址將呼叫委託給獨立實作合約的代理模式），並具有獨立的升級權限，在資產持有者與最終控制者之間增加了另一層合約。

據報，提款後約有 3,170 萬美元資產仍留在金庫中。隨後，一名身份不明的鏈上用戶向攻擊者發送訊息，鼓勵其提取剩餘資金並請求小費，但目前尚無公開核實的回應。

目前，直接系統性風險似乎有限，因為 Aave 的 Base 部署與底層區塊鏈未受影響。然而，此事件說明了特權管理功能可能比其所治理的智慧合約帶來更大的風險。當簽署者身分、交易審查流程與內部控制薄弱時，僅靠多簽批准並不能保證安全。

此事件也將焦點引向 wstETH 流動性。出售約 1,783 wstETH 可能造成短期市場壓力，但該憑證代幣的整體掛鉤尚未顯示面臨風險。如果 Safe 簽署者、金庫的控股組織或攻擊者公開身分，可能會有更多細節浮出水面。與此同時，剩餘約 3,170 萬美元是否保持未被動用，可直接在鏈上追蹤。

來源：Metaverse Post