Ein $2M-Base-Tresor-Exploit hat sich gerade in einen ungefähr $6M Schaden verwandelt.
Blockaid hat zunächst einen laufenden Angriff gemeldet, nachdem zu einer nicht näher genannten Whitelist eines Vaults ein neu bereitgestellter Vertrag hinzugefügt wurde.
Anschließend nutzte der Angreifer diese Berechtigung, um aBaswstETH aus dem Vault zu entleihen und die Vermögenswerte in einen vom Angreifer kontrollierten Vertrag zu verschieben.
Zunächst wurden rund $2,02M über vier Transaktionen abgezogen.
Später stieg die Zahl auf ungefähr $6M an, wobei Sicherheitsfirmen rund 1.783 wstETH dabei beobachteten, wie sie den Vault verließen.
Und hier wird die Geschichte interessant.
Derzeit gibt es keine Hinweise darauf, dass Base selbst kompromittiert wurde oder dass Aaves Kernverträge ausgenutzt wurden.
Das größere Problem scheint das eigene Berechtigungssystem des Vaults zu sein.
Ein Vertrag, der keinen Zugriff haben dürfte, landete offenbar trotzdem auf der Whitelist und gab dem Angreifer so einen Pfad zu den Geldern.
Persönlich ist das der Teil, der mich mehr beunruhigt als die Schlagzeilen-Zahl.
DeFi kann battle-tested Underlying-Protokolle haben, aber wenn die Schicht, die den Zugriff auf diese Protokolle verwaltet, kompromittiert wird, kann das Geld trotzdem noch sehr schnell verschwinden.
Der Angriff wirft auch eine größere Frage in den Raum: Wie wird Multisig-Governance umgesetzt und wie werden Whitelist-Änderungen genehmigt?
Denn „der Vertrag wurde whitelisted“ klingt harmlos, bis man begreift, dass diese Whitelist effektiv der Schlüssel zu Millionen Dollar war.
Die Untersuchung entwickelt sich noch, und der genaue Grund, warum dieser Vertrag einen legitim wirkenden Zugriff bekam, wurde noch nicht bestätigt.
Für mich besteht die Lektion nicht darin, dass Base oder Aave kaputt ist.
Sondern: Die schwächste Berechtigungsschicht rund um eine DeFi-Strategie kann genauso viel ausmachen wie das Protokoll darunter.
Im DeFi braucht man manchmal nicht einmal den Vault zu knacken.
Man muss nur jemanden dazu bringen, die Tür zu öffnen.
#BTC Price Analysis# #BNBChain# $BTC
$BASE
Blockaid hat zunächst einen laufenden Angriff gemeldet, nachdem zu einer nicht näher genannten Whitelist eines Vaults ein neu bereitgestellter Vertrag hinzugefügt wurde.
Anschließend nutzte der Angreifer diese Berechtigung, um aBaswstETH aus dem Vault zu entleihen und die Vermögenswerte in einen vom Angreifer kontrollierten Vertrag zu verschieben.
Zunächst wurden rund $2,02M über vier Transaktionen abgezogen.
Später stieg die Zahl auf ungefähr $6M an, wobei Sicherheitsfirmen rund 1.783 wstETH dabei beobachteten, wie sie den Vault verließen.
Und hier wird die Geschichte interessant.
Derzeit gibt es keine Hinweise darauf, dass Base selbst kompromittiert wurde oder dass Aaves Kernverträge ausgenutzt wurden.
Das größere Problem scheint das eigene Berechtigungssystem des Vaults zu sein.
Ein Vertrag, der keinen Zugriff haben dürfte, landete offenbar trotzdem auf der Whitelist und gab dem Angreifer so einen Pfad zu den Geldern.
Persönlich ist das der Teil, der mich mehr beunruhigt als die Schlagzeilen-Zahl.
DeFi kann battle-tested Underlying-Protokolle haben, aber wenn die Schicht, die den Zugriff auf diese Protokolle verwaltet, kompromittiert wird, kann das Geld trotzdem noch sehr schnell verschwinden.
Der Angriff wirft auch eine größere Frage in den Raum: Wie wird Multisig-Governance umgesetzt und wie werden Whitelist-Änderungen genehmigt?
Denn „der Vertrag wurde whitelisted“ klingt harmlos, bis man begreift, dass diese Whitelist effektiv der Schlüssel zu Millionen Dollar war.
Die Untersuchung entwickelt sich noch, und der genaue Grund, warum dieser Vertrag einen legitim wirkenden Zugriff bekam, wurde noch nicht bestätigt.
Für mich besteht die Lektion nicht darin, dass Base oder Aave kaputt ist.
Sondern: Die schwächste Berechtigungsschicht rund um eine DeFi-Strategie kann genauso viel ausmachen wie das Protokoll darunter.
Im DeFi braucht man manchmal nicht einmal den Vault zu knacken.
Man muss nur jemanden dazu bringen, die Tür zu öffnen.
#BTC Price Analysis# #BNBChain# $BTC
$BASE
