Um exploit de US$ 2M em um cofre (vault) da Base acabou de virar uma perda de aproximadamente US$ 6M.
A Blockaid inicialmente sinalizou um ataque em andamento depois que um contrato recém-deployado foi adicionado à whitelist de um cofre sem nome.
Em seguida, o atacante usou essa permissão para emprestar (borrow) aBaswstETH do cofre e mover os ativos para um contrato controlado pelo atacante.
No começo, cerca de US$ 2,02M foram drenados em quatro transações.
Esse número depois subiu para aproximadamente US$ 6M, com empresas de segurança rastreando cerca de 1.783 wstETH saindo do cofre.
E é aqui que a história fica interessante.
Atualmente, não há evidências de que a própria Base tenha sido comprometida ou de que os contratos principais (core) do Aave tenham sido explorados.
O problema maior parece ser o sistema de permissões do próprio cofre.
Um contrato que não deveria ter acesso acabou, de alguma forma, ficando whitelisted, dando ao atacante um caminho para os fundos.
Pessoalmente, esta é a parte que mais me preocupa do que o valor do título.
O DeFi pode ter protocolos subjacentes testados em batalhas, mas se a camada que gerencia o acesso a esses protocolos for comprometida, o dinheiro ainda pode desaparecer muito rapidamente.
O ataque também levanta uma questão maior sobre governança de multisig e como mudanças na whitelist são aprovadas.
Porque “o contrato foi whitelisted” soa inofensivo até você perceber que essa whitelist foi, na prática, a chave para milhões de dólares.
A investigação ainda está em andamento, e a razão exata pela qual esse contrato ganhou um acesso com aparência legítima ainda não foi confirmada.
Para mim, a lição não é que a Base ou o Aave estejam quebrados.
É que a camada de permissões mais fraca em torno de uma estratégia de DeFi pode importar tanto quanto o protocolo por baixo.
No DeFi, às vezes você não precisa quebrar o vault.
Você só precisa de alguém para abrir a porta.
#BTC Price Analysis# #BNBChain# $BTC
$BASE
A Blockaid inicialmente sinalizou um ataque em andamento depois que um contrato recém-deployado foi adicionado à whitelist de um cofre sem nome.
Em seguida, o atacante usou essa permissão para emprestar (borrow) aBaswstETH do cofre e mover os ativos para um contrato controlado pelo atacante.
No começo, cerca de US$ 2,02M foram drenados em quatro transações.
Esse número depois subiu para aproximadamente US$ 6M, com empresas de segurança rastreando cerca de 1.783 wstETH saindo do cofre.
E é aqui que a história fica interessante.
Atualmente, não há evidências de que a própria Base tenha sido comprometida ou de que os contratos principais (core) do Aave tenham sido explorados.
O problema maior parece ser o sistema de permissões do próprio cofre.
Um contrato que não deveria ter acesso acabou, de alguma forma, ficando whitelisted, dando ao atacante um caminho para os fundos.
Pessoalmente, esta é a parte que mais me preocupa do que o valor do título.
O DeFi pode ter protocolos subjacentes testados em batalhas, mas se a camada que gerencia o acesso a esses protocolos for comprometida, o dinheiro ainda pode desaparecer muito rapidamente.
O ataque também levanta uma questão maior sobre governança de multisig e como mudanças na whitelist são aprovadas.
Porque “o contrato foi whitelisted” soa inofensivo até você perceber que essa whitelist foi, na prática, a chave para milhões de dólares.
A investigação ainda está em andamento, e a razão exata pela qual esse contrato ganhou um acesso com aparência legítima ainda não foi confirmada.
Para mim, a lição não é que a Base ou o Aave estejam quebrados.
É que a camada de permissões mais fraca em torno de uma estratégia de DeFi pode importar tanto quanto o protocolo por baixo.
No DeFi, às vezes você não precisa quebrar o vault.
Você só precisa de alguém para abrir a porta.
#BTC Price Analysis# #BNBChain# $BTC
$BASE
