Ler no idioma original (inglês)
Vault da Base Perde $6 Milhões Devido a Falha na Aprovação Multisig
Redigido com inteligência artificial. Tradução automática do inglês.
Um vault na rede Base sofreu uma perda de aproximadamente 1.783 wstETH, avaliada em quase $6 milhões, após uma falha de segurança em seu processo de aprovação multisig. O incidente destaca as vulnerabilidades na gestão de vaults e a importância de proteger os controles de chave.
Visão Geral do Incidente
No dia 4 de outubro, um vault implantado na Base sofreu uma violação de segurança significativa, resultando no roubo de cerca de 1.783 wstETH, o que equivale a quase $6 milhões. O roubo ocorreu quando um contrato não autorizado conseguiu manipular os fundos do vault.
Como a Violação Aconteceu
A violação se desenrolou em uma série de ações rápidas envolvendo a lista de permissões do vault, que permite que certos endereços acessem seus fundos. O atacante primeiro obteve status de lista de permissões e tomou emprestado o aBaswstETH do vault—tokens emitidos pela Aave V3 para depósitos de wstETH. O atacante então transferiu esses tokens para um contrato que controlava e os resgatou por 1.783 wstETH. Importante ressaltar que não foram relatadas indicações de comprometimento no protocolo Aave em si.
Problemas de Aprovação Multisig
As equipes de segurança monitoraram o roubo à medida que ele escalava de $2 milhões para $6 milhões. A carteira multisig do vault, que normalmente requer várias assinaturas para a aprovação de transações, removeu o contrato do atacante de sua lista de permissões às 08:52:23 UTC, mas o reativou apenas um minuto e meio depois, às 08:53:51. Ambas as transações foram validadas pelas mesmas três assinaturas, sugerindo um possível comprometimento das chaves ou manipulação do processo de aprovação.
Recomendações para Usuários
Diante deste incidente, os usuários são aconselhados a investigar minuciosamente a governança de qualquer vault antes de depositar fundos. Considerações importantes incluem:
- Quem detém as chaves?
- Quantas assinaturas são necessárias?
- Quem pode modificar a lista de permissões?
Não verificar esses detalhes pode levar a vulnerabilidades significativas. À medida que a indústria enfrenta as repercussões de tais incidentes, a necessidade de medidas de segurança robustas em finanças descentralizadas continua sendo crítica.