Sekitar 6 Juta Dolar Mengalir dari Vault di Base, Sumber Operasi Tidak Diketahui

Poin Penting Artikel Ini

• Kontrak serangan terdaftar ulang oleh multisig
• Jumlah kerugian diperluas dari perkiraan awal sekitar 2,02 juta dolar

Penarikan Tidak Sah dari Vault di Base

Pada tanggal 4, di jaringan Layer 2 Base, sekitar 1.783 wstETH (setara dengan sekitar 6 juta dolar) ditarik secara tidak sah dari vault (kontrak pintar yang menyimpan dan mengelola dana) yang sumber operasinya tidak diketahui. Perusahaan keamanan blockchain, PeckShield, melaporkan kerugian tersebut di X pada malam hari yang sama. Hingga tanggal 5, sumber operasinya belum mengidentifikasi diri.

wstETH adalah token Ethereum (ETH) yang sudah dipertaruhkan yang diterbitkan oleh Lido, penyedia staking terkemuka. Berbeda dengan stETH, saldo wstETH tidak berubah setiap hari, dan nilainya dalam ETH meningkat seiring akumulasi imbalan staking.

Penarikan Segera Setelah Pendaftaran Ulang di Daftar Putih

Menurut Blockaid, yang pertama kali melaporkan anomali, kontrak baru ditambahkan ke daftar putih vault dan meminjam aBaswstETH dari vault untuk dikirim ke kontrak penyerang. aBaswstETH adalah token sertifikat yang diterbitkan ketika wstETH disimpan di pasar Base Aave V3. Penyerang menebus ini di Aave dan mendapatkan wstETH.

Pemilik vault dapat dioperasikan dengan persetujuan dari 3 dari 7 orang dalam multisig (Safe). Menurut timeline yang dirilis oleh perusahaan keamanan ExVul, multisig ini mengeluarkan kontrak terkait dari daftar putih pada pukul 17:52 waktu Jepang, dan mendaftar ulang satu menit kemudian pada pukul 17:53. Kedua operasi tersebut memiliki tanda tangan yang valid dari penandatangan yang ada. Pinjaman pertama dilakukan sekitar 70 detik setelah pendaftaran ulang.

Jumlah Kerugian Diperluas Hingga Sekitar Tiga Kali Lipat dari Perkiraan Awal

Dalam laporan awal yang dikeluarkan oleh Blockaid sekitar pukul 18:20, sekitar 202 juta dolar mengalir keluar dalam sekitar 4 transaksi, dan serangan masih berlangsung. Pada pukul 18:56, PeckShield melaporkan jumlah kerugian sekitar 6 juta dolar, dan CertiK juga mengeluarkan peringatan serupa.

Tidak ada informasi yang menunjukkan adanya masalah dengan infrastruktur Aave atau jaringan Base itu sendiri, dan belum ada konfirmasi apakah kunci penandatangan telah bocor atau proses penandatangan telah dimanipulasi. Alamat penyerang dimulai dengan "0x0B5126" dan diakhiri dengan "B034".

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.