Base链金库合约遭攻击，暴露DeFi治理深层隐患

近日，一起针对Base链上智能合约的攻击事件引发了加密社区的广泛关注。一个未被项目方公开认领的金库合约遭到入侵，导致价值约600万美元的资产被盗。更令人担忧的是，截至事件披露时，该合约内仍有高达3170万美元的资产处于风险之中。

攻击手法：多签治理沦为突破口

根据安全团队的披露，攻击者并非直接攻击底层协议。相反，他们找到了治理流程中的弱点。攻击者通过控制Safe多签钱包，将一个恶意合约添加到了平台的借贷白名单中。这一操作使得攻击者能够合法地从金库中提取1783枚aBaswstETH代币，随后在Aave V3协议中将其兑换为等值的wstETH，最终成功套现。

安全失效：长达25天的治理静默期

深入分析发现，这次攻击的根本原因在于多签治理和访问控制机制的双重失效。一个关键的异常点是：在攻击发生前的整整25天内，项目团队没有对该金库合约执行任何Safe交易。这段漫长的“静默期”极不寻常，为攻击者创造了可乘之机。

安全专家推测，这种异常可能源于两种情况：一是项目团队遭遇了精心设计的社会工程学攻击，导致私钥或权限泄露；二是不排除存在内部人员勾结的可能性。无论如何，这都暴露出项目在私钥管理和操作流程上存在严重漏洞。

影响评估：协议与链本身安然无恙

值得庆幸的是，此次事件的影响范围得到了控制。Aave的核心借贷合约以及Base链的底层网络均未受到此次攻击的影响，其安全性和稳定性依然完好。这表明问题完全出在单个项目的金库合约管理和治理层面，而非公链或主流DeFi协议的基础设施存在缺陷。

后续风险：巨额资产仍悬而未决

目前，事件最大的后续风险在于那笔仍未转移的3170万美元资产。攻击者是否留有后门，项目方能否及时修复漏洞并安全转移剩余资产，成为社区关注的焦点。此次事件也为所有DeFi项目敲响了警钟：智能合约的代码安全只是第一道防线，私钥管理、多签流程和持续性的治理监督同样至关重要。