У одних эксплойтов есть злодей, протокол и post-mortem. У этого пока нет ничего из трёх. В воскресенье, 4 октября 2026, vault в Base, который не признаёт ни один проект, меньше чем за час потерял около $6 млн в wstETH — после того как кто-то с доступом к его мультисигу 3-of-7 тихо поменял список тех, кому можно занимать.
Кто эти семь подписантов — неизвестно. Была ли это кража, спасение средств или кривые права доступа — тоже пока неизвестно. Ясно другое: как быстро одно админское изменение превращается в отток на миллионы, когда между решением и движением денег нет никакой задержки.
Главное
- 4 октября 2026 непризнанный vault в Base потерял около 1 783 wstETH — больше $6 млн — после того, как изменение whitelist добавило нового заёмщика.
- Две правки whitelist в 08:52–08:53 UTC добавили только что задеплоенный контракт в разрешённые заёмщики, пишет Crypto Briefing.
- Blockaid заметил эксплойт в 09:21 UTC на отметке около $2,02 млн; примерно через 40 минут потери превысили $6 млн.
- Владелец vault — Safe-мультисиг 3-of-7, созданный примерно за 324 дня до инцидента; подписанты не установлены, ни один протокол vault не признал.
- После оттока в vault оставалось около $31,7 млн, по данным Crypto Briefing.
- Base и Aave V3 не взломаны; Aave просто исполнил погашение валидных receipt-токенов.
Что случилось с vault в Base 4 октября?
4 октября 2026 две правки whitelist добавили свежезадеплоенный контракт в заёмщики непризнанного vault в Base. Затем этот контракт занял 1 783,067 aBaswstETH — receipt-токенов Aave — и погасил их через Aave примерно в 1 783 wstETH, больше $6 млн, шестью транзакциями примерно за 25 минут.
Первой шла маленькая тестовая транзакция, пишет Crypto Briefing. PeckShield, CertiK и Exvul независимо пришли к одной и той же сумме. Bitcoin.com News сообщает, что Blockaid поднял тревогу в 09:21 UTC, когда потери составляли около $2,02 млн; примерно через 40 минут они перевалили за $6 млн.
| Время (UTC, 4 октября) | Событие |
|---|---|
| 08:52–08:53 | Две правки whitelist добавляют свежий контракт в заёмщики |
| Вскоре после | Первый отток — тестовый; всего шесть оттоков примерно за 25 минут |
| 09:21 | Blockaid фиксирует эксплойт на ~$2,02 млн |
| ~40 минут спустя | Потери превышают $6 млн (~1 783 wstETH) |
Часть средств, по сообщениям, ушла через бридж Lido из Base в Ethereum, где расчёт занимает семь дней, пишет Crypto Briefing.
Кто контролирует vault и был ли это взлом?
Vault контролирует Safe-мультисиг 3-of-7, созданный примерно за 324 дня до инцидента, и ни один из семи подписантов не установлен. Ни один протокол vault не признал. Был ли это взлом — не подтверждено: скомпрометированные ключи, спасение средств white hat’ом или ошибочные права доступа пока одинаково возможны.
Картину запутывают детали. За 25 дней до оттока мультисиг не провёл ни одной транзакции, сообщает Crypto Briefing. Потом за минуту — две правки whitelist, а через полчаса vault стал легче на $6 млн. Судя по всему, не было и timelock — стандартной защиты, которая заставляет админские изменения ждать, прежде чем вступить в силу.
После этого в vault оставалось около $31,7 млн. Если это было спасение, оставшийся баланс — очевидный открытый вопрос. Если кража — напоминание, что кто может подписать, тот может и вывести.
Три подписи и никакой задержки — вот и вся модель безопасности.
Взломали ли Base и Aave?
Нет. Ни Base, ни Aave V3 не были скомпрометированы, пишут Bitcoin.com News и Crypto Briefing. Отток произошёл на уровне собственных прав vault: заёмщика добавили в whitelist, а Aave сделал ровно то, для чего создан, — исполнил погашение валидных receipt-токенов.
Это важное различие. Лендинговый рынок и layer-2 отработали корректно. Слабым местом оказался слой поверх них — контракт, поведение которого может изменить небольшая группа анонимных держателей ключей без всякого периода ожидания.
Зачем нужен timelock
Timelock не остановит плохое админское изменение, но даёт всем время его увидеть. Мониторинговые сервисы вроде Blockaid заметили этот эксплойт примерно через полчаса после правок whitelist. Будь у этих правок хотя бы короткая задержка, алерт пришёл бы до первого оттока, а не посреди него.
Что это значит для self-custody и тех, кто делает swap?
Любой vault, пул или yield-обёртка — это чужой набор ключей. Делая депозит, ты доверяешь не только коду, но и тем, кто может его менять. В этом случае — семерым людям, которых никто не может назвать.
Самая простая защита — держать средства, которыми не пользуешься прямо сейчас, в кошельке, который контролируешь только ты, в идеале в холодном хранении, и двигать их только когда нужно. А когда нужен обмен, некастодиальный маршрут не требует парковать средства где-то посередине. SwapZilla не хранит монеты: ты отправляешь на депозитный адрес провайдера и получаешь на свой адрес, без аккаунтов и token approvals, — подробнее о том, как сделать swap без подключения кошелька. Если перекидываешь средства между сетями, остальное — в гайде о безопасных обменах через бриджи.
Финальная мысль
В истории с оттоком 4 октября до сих пор нет главных фактов: кто подписал, зачем и куда отправятся оставшиеся $31,7 млн. Пока их нет, честно назвать это взломом, спасением или ошибкой нельзя.
Зато это чистый пример риска админских ключей. Спящий мультисиг 3-of-7, две правки whitelist, никакого timelock — и $6 млн уходят примерно за 25 минут. Аудиты базовых протоколов не помогли, потому что проблема была не в них. Проблема была в ключах.