$6 миллионов исчезли за 19 минут — и хранилище было идеально защищено все это время
Ничего не было взломано. Именно поэтому этот инцидент по-настоящему тревожит.
Децентрализованное DeFi-хранилище на Base, L2-сети Ethereum от Coinbase, потеряло примерно 1 783 wstETH — около $6 миллионов — 4 октября. Исследователи безопасности подтвердили, что ключевые контракты Aave V3 не были взломаны. Сеть Base не была скомпрометирована. Все системы работали строго так, как и было задумано.
Что произошло на самом деле: хранилище использовало мультиподписной кошелек формата 3 из 7 — то есть три уполномоченных подписанта должны были одобрить любое изменение. Неизвестным образом в хранилище в белый список заемщиков — список тех, кому разрешено выводить средства — был добавлен только что развернутый контракт. Как только контракт оказался в списке, он просто взял aBaswstETH и погасил его через собственный легитимный механизм Aave для реального wstETH. Шесть отдельных транзакций, всего 19 минут.
Самая неприятная часть, которую исследователи безопасности продолжают повторять: был ли это взлом устройства для подписи, обман подписанта, который одобрил то, что до конца не понимал, или же это было сделано намеренно инсайдерами — официально остается неподтвержденным. Данные on-chain также показывают, что команда проекта не проводила никаких транзакций из казначейства в течение 25 дней до этого — это наводит на вопросы, велся ли вообще за этим хранилищем активный мониторинг.
Это уже четвертый инцидент по безопасности, связанный с Aave или Base, за одну неделю, и, по сообщениям, примерно $31,7 миллиона активов все еще находятся под риском в том же скомпрометированном хранилище.
Урок здесь не в том, чтобы «избегать DeFi». А в том, что контроль доступа — кого добавляют в белый список и насколько тщательно проверяют это решение — становится не менее критичным уровнем безопасности, чем код смарт-контрактов.
Тебя больше пугает эксплойт такого рода потому, что технически «ничего не сломалось», или как раз из‑за этого кажется менее случайным и более предотвратимым? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity
Ничего не было взломано. Именно поэтому этот инцидент по-настоящему тревожит.
Децентрализованное DeFi-хранилище на Base, L2-сети Ethereum от Coinbase, потеряло примерно 1 783 wstETH — около $6 миллионов — 4 октября. Исследователи безопасности подтвердили, что ключевые контракты Aave V3 не были взломаны. Сеть Base не была скомпрометирована. Все системы работали строго так, как и было задумано.
Что произошло на самом деле: хранилище использовало мультиподписной кошелек формата 3 из 7 — то есть три уполномоченных подписанта должны были одобрить любое изменение. Неизвестным образом в хранилище в белый список заемщиков — список тех, кому разрешено выводить средства — был добавлен только что развернутый контракт. Как только контракт оказался в списке, он просто взял aBaswstETH и погасил его через собственный легитимный механизм Aave для реального wstETH. Шесть отдельных транзакций, всего 19 минут.
Самая неприятная часть, которую исследователи безопасности продолжают повторять: был ли это взлом устройства для подписи, обман подписанта, который одобрил то, что до конца не понимал, или же это было сделано намеренно инсайдерами — официально остается неподтвержденным. Данные on-chain также показывают, что команда проекта не проводила никаких транзакций из казначейства в течение 25 дней до этого — это наводит на вопросы, велся ли вообще за этим хранилищем активный мониторинг.
Это уже четвертый инцидент по безопасности, связанный с Aave или Base, за одну неделю, и, по сообщениям, примерно $31,7 миллиона активов все еще находятся под риском в том же скомпрометированном хранилище.
Урок здесь не в том, чтобы «избегать DeFi». А в том, что контроль доступа — кого добавляют в белый список и насколько тщательно проверяют это решение — становится не менее критичным уровнем безопасности, чем код смарт-контрактов.
Тебя больше пугает эксплойт такого рода потому, что технически «ничего не сломалось», или как раз из‑за этого кажется менее случайным и более предотвратимым? 👇
#Base #Aave #ETH #zyverra #CryptoSecurity