Из хранилища на Base выведено около 6 миллионов долларов, неизвестен оператор

Основные моменты статьи

• Мультиподпись повторно зарегистрировала контракт для атаки
• Сумма ущерба увеличилась с первоначальной оценки в 202 тысячи долларов

Неправомерный вывод из хранилища на Base

4 числа на слое 2 сети Base из хранилища (умного контракта, который принимает и управляет средствами) неизвестного оператора было неправомерно выведено 1,783 wstETH (примерно на сумму 6 миллионов долларов). В тот же вечер компания по безопасности блокчейнов PeckShield сообщила о происшествии в X. На 5 число оператор не вышел на связь.

wstETH — это токен, обернутый в стейкинговый Ethereum (ETH) «stETH», выпущенный крупной компанией по ликвидному стейкингу Lido. В отличие от stETH, баланс wstETH не изменяется ежедневно, и его стоимость в ETH увеличивается в зависимости от накопленных вознаграждений за стейкинг.

Вывод средств сразу после повторной регистрации в белом списке

Согласно информации от Blockaid, который первым сообщил о нарушении, новый созданный контракт был добавлен в белый список хранилища и использовал aBaswstETH, чтобы отправить средства на контракт злоумышленника. aBaswstETH — это токен, который выдается при депонировании wstETH на платформе Aave V3 на рынке Base. Злоумышленник обменял его на wstETH в Aave.

Владельцы хранилища могут управлять им с помощью мультиподписи (Safe) с одобрением 3 из 7 участников. Согласно временной шкале, опубликованной компанией ExVul, мультиподпись в 17:52 по японскому времени исключила соответствующий контракт из белого списка, а через минуту, в 17:53, повторно зарегистрировала его. На обеих операциях были действительные подписи существующих подписантов. Первоначальный заем был осуществлён примерно через 70 секунд после повторной регистрации.

Сумма ущерба увеличилась примерно в 3 раза

В первом отчете, выпущенном Blockaid около 18:20, сообщалось, что около 202 тысяч долларов было выведено в результате примерно 4 транзакций, и атака продолжалась. В 18:56 PeckShield сообщила, что сумма ущерба составляет около 6 миллионов долларов, и CertiK также выпустила аналогичное предупреждение.

Нет информации о том, были ли проблемы с основой Aave или самой сетью Base, и не подтверждено, утекли ли ключи подписантов или была ли скомпрометирована процедура подписания. Адрес злоумышленника начинается с «0x0B5126» и заканчивается на «B034».

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.