3-von-7-Multisig, am Ende scheiterte es an „1 Minute“.
Auf Base wurden am 4.10. aus einem bis heute von niemandem beanspruchten Vault rund 1.783 wstETH abgezogen (die Wrapped-Version von Lidos gestaktem ETH, $ETH ) – etwa 6 Millionen US-Dollar 💀
Ich habe die On-Chain-Analysen mehrerer Sicherheitsfirmen (Blockaid / CertiK / PeckShield / ExVul / GoPlus) zusammengetragen:
1️⃣ Ein neu bereitgestellter Vertrag wurde zur Whitelist des Vaults hinzugefügt. Er lieh sich aBaswstETH, löste es dann bei Aave V3 in wstETH ein und transferierte es auf eine Adresse des Angreifers.
2️⃣ ExVuls Zeitachse: Die Safe des Vault-Owners entfernte den Vertrag um 08:52 UTC von der Whitelist und fügte ihn um 08:53 UTC wieder hinzu. Beide Transaktionen waren mit gültigen Signaturen bestehender Unterzeichner versehen. Rund 70 Sekunden später wurde der erste Kredit ausgeführt.
3️⃣ Laut GoPlus versagten Multisig-Governance und Zugriffskontrollen. Das Team hatte den Safe in den 25 Tagen vor dem Angriff nicht angerührt; Social Engineering oder ein Insider sind nicht auszuschließen. Die Aave-Kernverträge und die Base-Chain selbst wurden nicht angegriffen.
4️⃣ Laut GoPlus sind im Vault noch Vermögenswerte im Wert von rund 31,7 Millionen US-Dollar gefährdet. Für diese Zahl habe ich vorerst keine zweite unabhängige Quelle gefunden – also erst einmal nur als Richtwert betrachten.
Meine Einschätzung:
Das war kein Smart-Contract-Bug, sondern ein „Menschen“-Bug. Ein Multisig stellt nur sicher, dass „genügend Leute unterschrieben haben“ – nicht, dass „die Leute bei klarem Verstand waren“.
3 von 7 klingt ziemlich sicher. Aber wenn alle 7 Unterzeichner anonym sind, 25 Tage lang nichts passiert und innerhalb einer Minute erst widerrufen und dann wiederhergestellt wird … dann ist dieses Drehbuch eine gründlichere Analyse wert als der Exploit selbst.
Projekte, die ihre Gelder noch mit Safe verwalten: Prüft vor dem Signieren die Calldata, nicht Telegram.
Nur zur Information, keine Anlageberatung. DYOR.
Quellen: Öffentliche Mitteilungen von Blockaid / CertiK / PeckShield / ExVul / GoPlus; Berichte von CryptoTimes, Bitcoin.com News und TokenPost
#Base #DeFi-Sicherheit
Auf Base wurden am 4.10. aus einem bis heute von niemandem beanspruchten Vault rund 1.783 wstETH abgezogen (die Wrapped-Version von Lidos gestaktem ETH, $ETH ) – etwa 6 Millionen US-Dollar 💀
Ich habe die On-Chain-Analysen mehrerer Sicherheitsfirmen (Blockaid / CertiK / PeckShield / ExVul / GoPlus) zusammengetragen:
1️⃣ Ein neu bereitgestellter Vertrag wurde zur Whitelist des Vaults hinzugefügt. Er lieh sich aBaswstETH, löste es dann bei Aave V3 in wstETH ein und transferierte es auf eine Adresse des Angreifers.
2️⃣ ExVuls Zeitachse: Die Safe des Vault-Owners entfernte den Vertrag um 08:52 UTC von der Whitelist und fügte ihn um 08:53 UTC wieder hinzu. Beide Transaktionen waren mit gültigen Signaturen bestehender Unterzeichner versehen. Rund 70 Sekunden später wurde der erste Kredit ausgeführt.
3️⃣ Laut GoPlus versagten Multisig-Governance und Zugriffskontrollen. Das Team hatte den Safe in den 25 Tagen vor dem Angriff nicht angerührt; Social Engineering oder ein Insider sind nicht auszuschließen. Die Aave-Kernverträge und die Base-Chain selbst wurden nicht angegriffen.
4️⃣ Laut GoPlus sind im Vault noch Vermögenswerte im Wert von rund 31,7 Millionen US-Dollar gefährdet. Für diese Zahl habe ich vorerst keine zweite unabhängige Quelle gefunden – also erst einmal nur als Richtwert betrachten.
Meine Einschätzung:
Das war kein Smart-Contract-Bug, sondern ein „Menschen“-Bug. Ein Multisig stellt nur sicher, dass „genügend Leute unterschrieben haben“ – nicht, dass „die Leute bei klarem Verstand waren“.
3 von 7 klingt ziemlich sicher. Aber wenn alle 7 Unterzeichner anonym sind, 25 Tage lang nichts passiert und innerhalb einer Minute erst widerrufen und dann wiederhergestellt wird … dann ist dieses Drehbuch eine gründlichere Analyse wert als der Exploit selbst.
Projekte, die ihre Gelder noch mit Safe verwalten: Prüft vor dem Signieren die Calldata, nicht Telegram.
Nur zur Information, keine Anlageberatung. DYOR.
Quellen: Öffentliche Mitteilungen von Blockaid / CertiK / PeckShield / ExVul / GoPlus; Berichte von CryptoTimes, Bitcoin.com News und TokenPost
#Base #DeFi-Sicherheit