Неизвестный хранилище подверглось атаке на мультиподпись на сумму 60 000 долларов, под угрозой находится 317 000 долларов

Исследователи в области безопасности раскрыли, что неустановленный контракт хранилища... Базовый злоумышленник воспользовался уязвимостями в механизмах управления белым списком и мультиподписей, что привело к потере этим блокчейном примерно 6 миллионов долларов. Инцидент был обнаружен 4 октября, когда компания по блокчейн-безопасности Blockaid обнаружила аномальные выводы средств. За примерно 40 минут предполагаемые потери выросли с 20,200 долларов до примерно 6 миллионов долларов.

По данным GoPlus, PeckShield, CertiK и Exvul, атакующий занял из хранилища 1 783,067 aBaswstETH и обменял эти токены на квитанции Aave, получив примерно 1 783 wstETH. aBaswstETH представляют собой обернутый стейкинговый эфир, предоставленный рынку Aave Base.

Эта атака не была вызвана уязвимостью основного кредитного контракта Aave или сети Base. Следователи выяснили, что кража связана с недоработками в механизмах мультиподписного управления и контроля доступа хранилища. Новый созданный контракт был добавлен в белый список заемщиков хранилища через транзакцию Safe мультиподписи. После внесения в белый список контракт смог заимствовать позиции Aave из хранилища и выкупить базовые активы.

Операторами хранилища являются три Safe-аккаунта, созданные с помощью Safe Proxy Factory 1.4.1. Управление этими аккаунтами осуществляют семь подписантов, однако их личности остаются неизвестными. Следователи могут проследить транзакции на блокчейне, но только на основании записей в блокчейне невозможно определить, произошло ли обновление белого списка из-за кражи учетных данных, социальной инженерии, внутренней угрозы или другой ошибки управления.

Стоит отметить, что в течение 25 дней до атаки никакие транзакции со стороны хранилища не совершались, но во время атаки внезапно были проведены две операции. Такая резкая активизация может указывать на компрометацию личностей подписантов или одобрение изменений инсайдером. На данный момент никакая компания по безопасности публично не подтвердила, какой из сценариев является верным.

Неустановленное владение и оставшиеся риски

Из-за отсутствия известных владельцев выработка ответных мер усложняется. Ни одна команда проекта публично не признала существование данного хранилища, не объявила план восстановления и не объяснила, как добавление в белый список было одобрено без авторизации. Хранилище реализовано как OpenZeppelin Transparent Proxy с отдельными правами на обновление, что создает дополнительный слой контрактов между держателями активов и фактическими контролирующими.

По сообщениям, после вывода средств в хранилище осталось около 317,000 долларов. Неустановленный on-chain пользователь впоследствии отправил атакующему сообщение с призывом вывести оставшиеся средства и просьбой о чаевых, однако публичного подтверждения ответа пока не поступало.

На данный момент прямой системный риск выглядит ограниченным, поскольку Base-развертывание Aave и его основной блокчейн не пострадали. Тем не менее, этот инцидент показывает, что риски, связанные с управлением привилегиями, могут быть даже выше, чем у смарт-контрактов, которыми они управляют. Если подписи, процедуры проверки транзакций и внутренний контроль слабы, одного лишь одобрения мультиподписью недостаточно для обеспечения безопасности.

Инцидент также вызвал обсуждение ликвидности wstETH. Продажа примерно 1 783 wstETH может оказать краткосрочное давление на рынок, хотя в настоящее время не наблюдается угрозы общей привязке токена. Если подписи Safe, управляющая организация хранилища или атакующий раскроют свои личности, может появиться больше подробностей.