Isang hindi kilalang treasury ang inatake dahil sa $60,000 multisig vulnerability, at $317,000 pa ang nanganganib.

Isiniwalat ng mga eksperto sa seguridad na isang hindi kilalang treasury contract... ay inatake ng mga masasamang-loob gamit ang kahinaan sa whitelist at multi-signature control mechanism nito, na nagdulot ng pagkawala ng humigit-kumulang $6 milyon sa nasabing blockchain. Natuklasan ang insidente noong Oktubre 4, nang makita ng blockchain security firm na Blockaid ang kakaibang pag-withdraw. Sa loob ng humigit-kumulang 40 minuto, ang tinayang pinsala ay tumaas mula $20,200 hanggang halos $6 milyon.

Ayon sa datos mula sa GoPlus, PeckShield, CertiK, at Exvul, umutang ang mga attacker ng 1,783.067 aBaswstETH mula sa treasury, at ipinagpalit ang mga token na ito para sa Aave receipts, na ipinalit naman sa tinatayang 1,783 wstETH. Ang aBaswstETH ay kumakatawan sa wrapped staked Ethereum na naka-deposito sa Aave Base market.

Ang pag-atakeng ito ay hindi dulot ng core lending contract ng Aave o kahinaan sa Base network. Nadiskubre ng mga imbestigador na ang pagnanakaw ay may kaugnayan sa kapalpakan ng multi-signature governance at access control mechanism ng treasury. Isang bagong likhang contract ang idinagdag sa borrow whitelist ng treasury gamit ang Safe multi-signature transaction. Kapag nailagay na sa whitelist, maaaring umutang ng Aave positions mula sa treasury ang contract na ito at matubos ang underlying asset.

Ang mga operator ng treasury ay may-ari ng tatlong Safe accounts na nilikha gamit ang Safe Proxy Factory 1.4.1. Pitong signature address ang kumokontrol sa account na ito, ngunit hindi pa inilalahad ang kanilang pagkakakilanlan. Kayang subaybayan ng mga imbestigador ang mga transaksyon sa blockchain, ngunit hindi pa matukoy batay lamang sa on-chain records kung ang pag-update sa whitelist ay dahil sa nakompromisong credentials, social engineering attack, inside job, o iba pang pagkukulang sa pamamahala.

Kapansin-pansin, sa loob ng 25 araw bago ang pag-atake, walang anumang transaksyon mula sa treasury na ito, ngunit bigla itong nagtala ng dalawang transaksyon habang nagaganap ang pag-atake. Maaaring nangangahulugan ito ng kompromiso sa pagkakakilanlan ng mga signatory, o pag-apruba ng insider sa pagbabago. Sa kasalukuyan, wala pang security firm ang hayagang nagkumpirma kung aling paliwanag ang tama.

Hindi Maangkin na Pag-aari at Natitirang Panganib

Dahil sa kawalan ng kilalang may-ari, naging mas komplikado ang pagresponde. Walang project team na hayagang umaako sa treasury na ito, gayundin walang inilabas na remedyo o paliwanag kung paano naaprubahan ang hindi awtorisadong pagdagdag sa whitelist. Ang treasury ay isang OpenZeppelin Transparent Proxy na may sariling upgrade authority, na nagdadagdag ng panibagong layer ng kontrata sa pagitan ng asset holders at mga may kontrol dito.

Iniulat na matapos ang withdrawal, may natira pang halos $317,000 na assets sa treasury. Isang hindi kilalang on-chain user ang nagpadala ng mensahe sa attacker upang hikayatin itong kunin pa ang nalalabing pondo at nanghingi pa ng tip, ngunit wala pang kumpirmadong sagot na natanggap.

Sa ngayon, tila limitado ang direktang systemic risk dahil hindi naapektuhan ang Base deployment ng Aave at ang underlying blockchain nito. Gayunpaman, ipinapakita ng insidenteng ito na mas malaki pa minsan ang panganib mula sa privileged management functions kaysa sa mismong mga smart contract na kanilang pinamamahalaan. Kung mahina ang pagkakakilanlan ng mga signatory, review process ng mga transaksyon, at internal controls, hindi sapat ang multi-signature approval para matiyak ang seguridad.

Nag-udyok din ang pangyayarig ito ng pag-aalala tungkol sa liquidity ng wstETH. Ang pagbebenta ng humigit-kumulang 1,783 wstETH ay maaaring magdulot ng panandaliang presyon sa merkado, kahit na hindi pa nagpapakita ng risk sa overall peg ng token na ito. Kung isisiwalat ng mga signatory ng Safe, kontroladong organisasyon ng treasury, o ng attacker ang kanilang pagkakakilanlan, posibleng lumitaw pa ang karagdagang detalye.