Um cofre desconhecido sofreu um ataque de vulnerabilidade de assinatura múltipla no valor de 60 mil dólares, colocando em risco 317 mil dólares.

Pesquisadores de segurança revelaram que um contrato de cofres não identificado... O(s) invasor(es) exploraram vulnerabilidades no mecanismo de controle de lista branca e multisig, levando a uma perda de cerca de 6 milhões de dólares para essa blockchain. O incidente foi detectado em 4 de outubro, quando a empresa de segurança de blockchain Blockaid identificou saques anômalos. Em cerca de 40 minutos, a estimativa de perdas saltou de 20,2 mil dólares para aproximadamente 6 milhões de dólares.

De acordo com dados da GoPlus, PeckShield, CertiK e Exvul, o invasor pegou emprestado 1.783,067 aBaswstETH do cofre e usou esses tokens para resgatar recibos do Aave, trocando por cerca de 1.783 wstETH. aBaswstETH representa Ether apostado embalado fornecido ao mercado Base do Aave.

O ataque não foi causado por falha no contrato principal de empréstimo do Aave ou na rede Base. Os investigadores descobriram que o roubo foi resultado de falhas na governança multisig e mecanismos de controle de acesso do cofre. Um contrato recém-criado foi adicionado à lista branca de empréstimos do cofre via transação multisig do Safe. Uma vez listado, o contrato pôde tomar empréstimos das posições Aave do cofre e resgatar os ativos subjacentes.

Os operadores do cofre são três contas Safe criadas utilizando o Safe Proxy Factory 1.4.1. Sete endereços de assinantes controlam a conta, mas suas identidades permanecem desconhecidas. Os investigadores podem rastrear as transações on-chain, mas apenas com registros da blockchain não é possível determinar se a atualização da lista branca ocorreu devido a credenciais roubadas, ataque de engenharia social, ameaça interna ou outro problema de governança.

Vale notar que, durante 25 dias antes do ataque, o cofre esteve completamente inativo, mas durante o ataque duas transações foram concluídas repentinamente. Essa súbita atividade pode indicar comprometimento das identidades dos signatários ou aprovação interna para a alteração. Até o momento, nenhuma empresa de segurança confirmou publicamente qual hipótese é correta.

Propriedade não reivindicada e riscos residuais

A ausência de proprietários conhecidos dificulta a execução de contramedidas. Nenhuma equipe de projeto reconheceu publicamente a existência deste cofre, nem divulgou planos de mitigação ou explicou como a inclusão não autorizada na lista branca foi aprovada. Este cofre utiliza um proxy transparente da OpenZeppelin com permissões de upgrade independentes, adicionando uma camada extra de contratos entre os detentores de ativos e o controle final.

Após os saques, restaram aproximadamente 317 mil dólares em ativos no cofre. Um usuário on-chain anônimo posteriormente enviou uma mensagem ao invasor, incentivando-o a retirar os fundos remanescentes e pedindo uma gorjeta, mas até agora não há resposta pública confirmada.

No momento, o risco sistêmico direto parece limitado, pois a implementação Base do Aave e sua blockchain subjacente não foram afetadas. Entretanto, o incidente demonstra que funções de gestão privilegiada podem ser mais arriscadas do que os próprios contratos inteligentes gerenciados. Se os signatários, procedimentos de auditoria de transações e os controles internos forem frágeis, somente uma aprovação multisig não garante a segurança.

O evento também levantou preocupações quanto à liquidez do wstETH. A venda de cerca de 1.783 wstETH pode gerar pressão de mercado de curto prazo, embora não haja sinais de risco à paridade deste token de recibo até o momento. Se os signatários do Safe, a organização de controle do cofre ou o invasor se identificarem publicamente, mais detalhes poderão emergir.