Base上の運営元不明のボールトから2026年10月4日、暗号資産（仮想通貨）1783 wstETHが不正流出した。被害額は約600万ドル相当で、Base上のDeFiボールト管理に使われていたホワイトリストの運用が突かれた形だ。

流出したボールトは、7人中3人の承認で操作できるSafeのマルチシグで管理されていた。攻撃では新たに作成されたコントラクトがいったん除外された後に再登録され、そのコントラクト経由でボールトからaBaswstETHが借り入れられ、攻撃者側に送られた後、AaveでwstETHに償還された。

ExVulがまとめたタイムラインでは、マルチシグの操作は日本時間4日17時52分ごろに始まり、17時53分ごろに再登録が実行された。借り入れ開始はその約70秒後だった。攻撃者アドレスは0x0B5126e1bc27C0de77e02e97945760A674EdB034とされる。

被害額の把握は段階的に修正された。Blockaidは当初、約202万ドルが流出中と検知していたが、その後PeckShieldとCertiKが被害を1783.067 wstETH、約600万ドル相当と報告した。PeckShieldは「0x0B5126…B034がBase上で1783 wstETHを流出させた」と伝えた。

ボールトの所有者や運営プロトコルは特定されていない。流出はボールト側のアクセス制御を悪用したもので、BaseネットワークやAave V3のコアコントラクト自体に脆弱性が見つかった事案ではない。

画像：Shutterstock