6 Millionen Dollar verschwanden in 19 Minuten – und der Tresor war die ganze Zeit vollkommen sicher
Hier wurde nichts gehackt. Genau das macht diesen Vorfall wirklich beunruhigend.
Ein DeFi-Tresor auf Base, dem Ethereum-Layer-2-Netzwerk von Coinbase, verlor am 4. Oktober rund 1.783 wstETH – etwa 6 Millionen Dollar. Sicherheitsforscher bestätigten, dass die Kernverträge von Aave V3 nicht kompromittiert wurden. Auch das Base-Netzwerk wurde nicht angegriffen. Jedes System funktionierte genau wie vorgesehen.
Was stattdessen tatsächlich geschah: Der Tresor nutzte eine Multisig-Wallet mit 3 von 7 Signaturen. Das bedeutet, dass drei autorisierte Unterzeichner jede Änderung genehmigen mussten. Irgendwie wurde ein gerade erst bereitgestellter Vertrag zur Kreditnehmer-Whitelist des Tresors hinzugefügt – der genehmigten Liste derjenigen, die Gelder abziehen dürfen. Nach der Aufnahme in die Whitelist lieh sich der bösartige Vertrag einfach aBaswstETH und löste es über den eigenen legitimen Mechanismus von Aave in echte wstETH ein. Sechs separate Transaktionen, insgesamt 19 Minuten.
Der beunruhigende Punkt, den Sicherheitsforscher immer wieder hervorheben: Ob es sich um ein kompromittiertes Signiergerät, einen Unterzeichner handelte, der dazu gebracht wurde, etwas zu genehmigen, das er nicht vollständig verstand, oder um eine absichtliche interne Aktion, ist offiziell weiterhin unbestätigt. On-Chain-Daten zeigen außerdem, dass das Projektteam in den 25 Tagen zuvor keine Treasury-Transaktionen ausgeführt hatte – was die Frage aufwirft, ob dieser Tresor überhaupt aktiv überwacht wurde.
Dies ist der vierte mit Aave verbundene oder Base betreffende Sicherheitsvorfall innerhalb einer einzigen Woche. Berichten zufolge sind im selben kompromittierten Tresor weiterhin Vermögenswerte im Wert von rund 31,7 Millionen Dollar gefährdet.
Die Lehre daraus lautet nicht: „Meide DeFi.“ Vielmehr wird die Zugriffskontrolle – wer einer Whitelist hinzugefügt wird und wie sorgfältig diese Entscheidung überprüft wird – zu einer ebenso entscheidenden Sicherheitsebene wie der Smart-Contract-Code selbst.
Beunruhigt dich ein solcher Exploit mehr, weil technisch nichts „kaputt“ war, oder wirkt er dadurch weniger zufällig und besser vermeidbar? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity
Hier wurde nichts gehackt. Genau das macht diesen Vorfall wirklich beunruhigend.
Ein DeFi-Tresor auf Base, dem Ethereum-Layer-2-Netzwerk von Coinbase, verlor am 4. Oktober rund 1.783 wstETH – etwa 6 Millionen Dollar. Sicherheitsforscher bestätigten, dass die Kernverträge von Aave V3 nicht kompromittiert wurden. Auch das Base-Netzwerk wurde nicht angegriffen. Jedes System funktionierte genau wie vorgesehen.
Was stattdessen tatsächlich geschah: Der Tresor nutzte eine Multisig-Wallet mit 3 von 7 Signaturen. Das bedeutet, dass drei autorisierte Unterzeichner jede Änderung genehmigen mussten. Irgendwie wurde ein gerade erst bereitgestellter Vertrag zur Kreditnehmer-Whitelist des Tresors hinzugefügt – der genehmigten Liste derjenigen, die Gelder abziehen dürfen. Nach der Aufnahme in die Whitelist lieh sich der bösartige Vertrag einfach aBaswstETH und löste es über den eigenen legitimen Mechanismus von Aave in echte wstETH ein. Sechs separate Transaktionen, insgesamt 19 Minuten.
Der beunruhigende Punkt, den Sicherheitsforscher immer wieder hervorheben: Ob es sich um ein kompromittiertes Signiergerät, einen Unterzeichner handelte, der dazu gebracht wurde, etwas zu genehmigen, das er nicht vollständig verstand, oder um eine absichtliche interne Aktion, ist offiziell weiterhin unbestätigt. On-Chain-Daten zeigen außerdem, dass das Projektteam in den 25 Tagen zuvor keine Treasury-Transaktionen ausgeführt hatte – was die Frage aufwirft, ob dieser Tresor überhaupt aktiv überwacht wurde.
Dies ist der vierte mit Aave verbundene oder Base betreffende Sicherheitsvorfall innerhalb einer einzigen Woche. Berichten zufolge sind im selben kompromittierten Tresor weiterhin Vermögenswerte im Wert von rund 31,7 Millionen Dollar gefährdet.
Die Lehre daraus lautet nicht: „Meide DeFi.“ Vielmehr wird die Zugriffskontrolle – wer einer Whitelist hinzugefügt wird und wie sorgfältig diese Entscheidung überprüft wird – zu einer ebenso entscheidenden Sicherheitsebene wie der Smart-Contract-Code selbst.
Beunruhigt dich ein solcher Exploit mehr, weil technisch nichts „kaputt“ war, oder wirkt er dadurch weniger zufällig und besser vermeidbar? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity