删掉又加回：Base 金库 600 万美元被搬空的那一分钟

10 月 4 日，Base 上有个金库被搬走了大约 1,783 枚 wstETH，折合约 600 万美元。Blockaid、PeckShield、CertiK、ExVul 四家安全公司先后对上了同一笔账。

但这件事最怪的地方不是钱没了，而是——没人知道这个金库是谁的。

先说怎么发生的。Blockaid 在 09:20 UTC 第一个报警，当时被搬走约 202 万美元、大概四笔交易；四十分钟后总额突破 600 万，攻击还在进行。ExVul 的口径最细：1,783.067 枚 aBaswstETH，六笔流出。路径很利落：一个新部署的合约先进了金库的借贷白名单，借走金库在 Aave 上的 aBaswstETH，转到攻击者控制的合约里，再经 Aave V3 兑成 wstETH。

真正值得盯的是 ExVul 补的那条时间线。08:52 UTC，金库 owner 那个多签把攻击者合约从白名单里删掉了。08:53，同一个多签又把它加了回来。两次操作都带着三个有效的 ECDSA 签名，签名身份还是同一批人。第一次借款，发生在重新启用后大约 70 秒。

换句话说：攻击者没有攻破这个多签，是这个多签自己签的字。那三个签名到底是密钥泄露、签名流程被人做了手脚，还是别的，目前没有任何一方确认。

链上其实什么都看得见。这个金库是一个标准的 OpenZeppelin 可升级代理，owner 指向一个 324 天前创建、要求 3-of-7 的 Safe。七个签名地址明晃晃挂在链上，可运营方是匿名，没有任何协议站出来说”这是我们”。持仓画像倒不难猜——几千万美元级别的 Aave V3 抵押对相当大的借款，典型的链上杠杆或收益策略金库。有意思的是，攻击之前它已经 25 天没执行过任何 Safe 交易。

出事之后，没人发复盘、没人冻结资金，也没有赏金。攻击者地址里已经没什么 wstETH，只剩一点 ETH；社区追踪说一部分正通过 Lido 的桥往以太坊走，通常要好几天。

这不是孤例。10 月 2 日，FlashLoopAdapter 打掉两个在跑 Aave 循环贷的 Safe 钱包，约 30.5 万美元；10 月 3 日，Base 上 GoldPesa 的 GPXHooks 被薅走 11.4 万美元。再往大看，CertiK 的口径下 9 月是今年最惨的一个月，全行业损失约 7.66 亿美元。

我的判断：Aave 没问题，Base 也没被攻破。出事的是”谁来批这笔交易”这一层——白名单是权限开关，多签是拿钥匙的人，而这一次两边都规规矩矩地执行了。匿名运营加上多签，通常被当成额外的保险；代价是出事之后，你连一份复盘都等不到。

接下来三件事值得盯：有没有人认领这个金库、并解释清 08:52 到 08:53 这一分钟；那笔 wstETH 到底有没有真的跨过 Lido 桥；以及金库里剩下的约 3,170 万美元敞口会不会被继续借空。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

#cryptocurrencies #blockchain #pickful