不明身份的金庫遭遇6萬美元多重簽名漏洞攻擊，31.7萬美元面臨風險

安全研究人員披露，一份身分不明的金庫合約…… 基值攻擊者利用其白名單和多重簽名控制機制的漏洞，導致該區塊鏈約損失600萬美元。該事件於10月4日被發現，當時區塊鏈安全公司Blockaid偵測到異常提款。在大約40分鐘內，估計損失從2.02萬美元飆升至約600萬美元。

根據GoPlus、PeckShield、CertiK以及Exvul的數據，攻擊者從金庫借出1,783.067個aBaswstETH，並用這些代幣兌換Aave收據，最終換取到約1,783個wstETH。aBaswstETH代表提供給Aave Base市場的包裝質押以太幣。

此次攻擊並非由Aave核心借貸合約或Base網路漏洞所引起。調查人員發現，這起盜竊事件與金庫多重簽名治理和存取控制機制的故障有關。一個新建立的合約經由Safe多重簽名交易被加入金庫的借款白名單。一旦被列入白名單，該合約即可借出金庫的Aave倉位並贖回基礎資產。

該金庫的營運所有者是使用Safe Proxy Factory 1.4.1建立的三個Safe帳戶。七個簽名地址控制該帳戶，但其身分尚未公開。調查人員可追蹤鏈上交易，但僅憑區塊鏈紀錄無法確定白名單更新是因憑證被竊、社會工程攻擊、內部威脅或其他治理疏失所造成。

值得注意的是，在攻擊發生前的25天內，該金庫一直未有任何交易紀錄，但在攻擊過程中卻突然完成了兩筆交易。這種突如其來的活躍可能意味著簽名者的身分遭到竄改，或者內部人員批准了這次變更。目前尚無任何安全公司公開確認哪一種說法正確。

無人認領的所有權與殘餘風險曝險

由於缺乏已知的所有者，應對措施變得更加困難。沒有任何項目團隊公開承認該存儲庫的存在，也未公布補救計畫或說明未經授權白名單新增是如何獲准。該存儲庫是一個OpenZeppelin透明代理，具備獨立升級權限，這在資產持有人與最終控管者之間增添了一層合約隔閡。

據報導，提款後金庫內仍剩約31.7萬美元資產。一位身分不明的鏈上用戶隨後向攻擊者發送消息，鼓勵其提取剩餘資金並索取小費，但目前尚未收到公開證實的回應。

目前看來，直接的系統性風險似乎有限，因為Aave在Base的部署及其底層區塊鏈並未受到影響。然而，此一事件顯示，特權管理職能所帶來的風險可能比其所管理的智能合約本身更大。如果簽名者身分、交易審查機制及內部控制並不完善，僅靠多重簽名批准並無法保證安全。

此事件也引發了對wstETH流動性的關注。拋售約1,783個wstETH可能會造成短期市場壓力，儘管目前尚未顯示該收據代幣的整體錨定存在風險。如果Safe的簽名者、金庫的控管組織或攻擊者公開揭露身分，可能會有更多細節浮現。