Hack na Base: 6 mln dolarów z vaulta
Na Base zniknęło ok. 1 783 wstETH warte blisko 6 mln dolarów. Kluczowy okazał się błąd w procesie whitelisty multisig.
Vault na Base stracił 6 mln dolarów
Na sieci Base doszło do ataku na vault, z którego wypłynęło około 1 783 wstETH, czyli blisko 6 mln dolarów. Wstępne szacunki mówiły o stratach rzędu 2 mln dolarów, ale skala incydentu szybko urosła, gdy transakcje zaczęły być analizowane w czasie rzeczywistym.
W centrum zdarzenia znalazł się vault korzystający z mechanizmu whitelisty, czyli listy adresów i kontraktów uprawnionych do interakcji z jego środkami. To właśnie przez ten mechanizm atakujący uzyskał możliwość wykonania kolejnych operacji.
Jak doszło do ataku
Schemat był zaskakująco prosty, choć skuteczny:
- Nowy smart contract został dodany do whitelisty vaulta.
- Za jego pomocą napastnik pobrał aBaswstETH, czyli token reprezentujący depozyt w Aave V3 na Base.
- Następnie środki zostały przeniesione do kontraktu kontrolowanego przez atakującego.
- Finalnie środki zamieniono z powrotem, co pozwoliło wyprowadzić około 1 783 wstETH.
Warto podkreślić, że nic nie wskazuje na bezpośrednie złamanie samego protokołu Aave. W praktyce problem zaczął się po stronie vaulta i sposobu, w jaki zarządzał on uprawnieniami dla kontraktów zewnętrznych.
Multisig zareagował za późno
Najbardziej niepokojący element całej historii dotyczy multisig, która miała chronić vault. Według dostępnych danych:
- o 08:52:23 UTC kontrakt powiązany z atakującym został usunięty z whitelisty,
- o 08:53:51 UTC został ponownie dodany.
Obie operacje zostały zatwierdzone przez 3 z 7 uprawnionych podpisujących, a więc spełniały formalne warunki bezpieczeństwa. To sugeruje, że problem mógł leżeć nie w samym kodzie smart contractu, lecz w procesie zarządzania kluczami, podpisami albo w przejęciu części uprawnień.
Dlaczego to ważne dla DeFi
Ten incydent dobrze pokazuje, że w DeFi zagrożeniem nie zawsze jest luka w kodzie. Czasem zawodzi proces decyzyjny, zarządzanie whitelistą albo sama organizacja multisig.
Dla użytkowników oznacza to kilka oczywistych pytań przed wpłatą środków do vaulta:
- kto może zmieniać whitelistę,
- ile podpisów jest wymaganych do zatwierdzenia operacji,
- czy zarządzanie uprawnieniami jest przejrzyste i dobrze audytowane.
Jeśli odpowiedzi na te pytania są niejasne, użytkownik w praktyce oddaje kontrolę nad aktywami w cudze ręce.
Co dalej z wstETH
Po ataku rynek zaczął obserwować, czy skradzione wstETH trafią na giełdy lub DEX-y, co mogłoby wywołać presję podażową na ten aktywo. Na ten moment nie było jednak oficjalnego post-mortem ani jasnego wskazania, kto odpowiada za vault.
Sam incydent nie wygląda na taki, który zagraża całemu ekosystemowi Ethereum czy Base, ale stanowi poważne ostrzeżenie dla projektów DeFi opartych na złożonych mechanizmach dostępu i zarządzania uprawnieniami.
Najważniejszy wniosek
Atak na vault na Base nie musiał wynikać z błędu w protokole, lecz z tego, że ktoś miał możliwość dwukrotnego zatwierdzenia dostępu do środków w bardzo krótkim czasie. W DeFi to często wystarczy, by zniknęły miliony dolarów.
