4 октября из управляемого хранилища в сети Base вывели около 1 783 wstETH — примерно $6 млн на момент инцидента. Как сообщила Blockaid, новый прокси-контракт получил доступ к списку разрешённых адресов, занял у хранилища около 1 783 aBaswstETH — токенов вклада wstETH в Aave V3 — и погасил их, получив базовый актив.

Ключевое изменение произошло непосредственно перед выводом. По разбору транзакций, в 08:52 UTC кошелёк Safe владельца удалил контракт из списка доступа, а в 08:53 вернул его. Обе операции имели три действительные подписи — минимальный порог схемы «три из семи». Примерно через 70 секунд прошёл первый заём; судя по последовательности операций, задержки между изменением разрешения и его вступлением в силу не было.

Данных о компрометации контрактов Aave V3 или сети Base нет: инцидент затронул отдельное хранилище и его административный контур. Не установлено и то, как появились подписи — были ли скомпрометированы ключи или владельцы подтвердили не ту операцию. На 6 октября оператор хранилища не назван и не опубликовал постмортем, план возврата средств или подтверждённую окончательную оценку ущерба.

Инцидент показывает ограничение управляемых DeFi-хранилищ: открытость базового протокола не устраняет зависимость от администраторов надстройки. Здесь трёх подписей оказалось достаточно, чтобы за минуту вернуть посторонний контракт в список доступа и начать вывод средств.