Взлом хранилища в Base: $6 млн в wstETH, газ из Tornado Cash — и 1 000 wstETH застряли в семидневном окне моста
PublicAML · Ончейн-расследование · 4 октября 2026
Утром 4 октября хранилище в Base потеряло 1 783 wstETH, около $6 млн: в его белый список внесли свежий контракт, и тот забрал позицию хранилища в Aave. Владельцы хранилища неизвестны. Мы прошли по следу в тот же день. Газ атакующий оплатил эфиром, выведенным из Tornado Cash за два с половиной часа до атаки. wstETH сейчас идут в Ethereum через мост Lido — и этот мост заставляет ждать: 1 001 wstETH нельзя потратить в Ethereum примерно до 11 октября. Ещё 782 wstETH лежат в Base.
1 783,067 wstETH
забрано из хранилища, ≈ $6 млн
1 001 wstETH
в 7-дневном окне вывода в Ethereum
782,067 wstETH
ещё в Base, на одном адресе
06:43 UTC
газ выведен из Tornado Cash, за 2,5 ч до атаки
Что произошло
Хранилище 0xD1895f2019c2152FC2b9022D57f19198c4CFCABC держало позицию wstETH с плечом в Aave. Им управляет Safe 0x6b27512a5943Ed327f6cb6C3EC1f0398229f42C4, которому нужны три подписи из семи; чьи это подписи, никто не сообщал. Хранилище позволяет контрактам из белого списка перемещать его расписки Aave.
В 08:52 и 08:53 UTC Safe отправил хранилищу две транзакции, менявшие этот белый список, — по данным ExVul, сначала удалив, а затем снова добавив контракт атакующего 0xcdFE91301356da873562EF513828a60dba1F569d. Мы проверили обе: в каждой три действительные подписи владельцев. То есть изменение прошло через собственную процедуру одобрения хранилища. Украли ли ключи у трёх владельцев или произошло что-то другое, блокчейн не говорит.
Через две минуты контракт начал забирать aBaswstETH хранилища — пробный 1 токен в 08:55, затем 100, 500, 500, 500 и 182,067 с 09:08 до 09:12. Каждую порцию он сразу передавал кошельку, который его создал, 0x0B5126e1bc27C0de77e02e97945760A674EdB034, а тот в 09:23 одной транзакцией обменял в Aave все 1 783,067 aBaswstETH на wstETH.
| Когда (UTC, 2026) | Откуда | Куда | Сумма | Транзакция |
|---|---|---|---|---|
| 4 Oct 06:43 | 0x12D66f…16B8Fc | 0x707877…3366EF | 0.098 ETH (Tornado Cash) Ethereum: пул Tornado Cash 0,1 ETH платит свежему адресу | 0x0b5224…45c434 |
| 4 Oct 06:46 | 0x707877…3366EF | 0x3154Cf…0F2C35 | 0.05 ETH → Base переведено на кошелёк атакующего в Base | 0x6eecb6…df6045 |
| 4 Oct 08:10 | 0x0B5126…EdB034 | 0xcdFE91…1F569d | contract set up контракт атакующего инициализирован | 0x122dc2…269ce5 |
| 4 Oct 08:53 | 0x6b2751…9f42C4 | 0xD1895f…CFCABC | whitelist (3 of 7) Safe снова добавляет контракт в белый список, 3 действительные подписи | 0xed265f…bf2810 |
| 4 Oct 08:55–09:12 | 0xD1895f…CFCABC | 0xcdFE91…1F569d | 1,783.067 aBaswstETH последняя из шести выборок (1, 100, 500, 500, 500, 182,067) | 0xf1c944…a9cd7e |
| 4 Oct 09:23 | 0x0B5126…EdB034 | 0xA238Dd…98d1c5 | → 1,783.067 wstETH все aBaswstETH обменяны в Aave на wstETH | 0x557bfd…67ee8c |
| 4 Oct 10:47 | 0x0B5126…EdB034 | 0xC73448…297f8D | 1,782.067 wstETH на адрес для вывода через мост (пробный 1 wstETH в 09:24) | 0x20fb64…6be145 |
| 4 Oct 12:10 | 0xC73448…297f8D | 0xac9D11…4287AB | 1,000 wstETH → Ethereum мост wstETH от Lido: начат вывод в Ethereum | 0x7b8560…723e14 |
| 4 Oct 13:44 | 0xC73448…297f8D | 0x490480…74E97e | proved on Ethereum вывод доказан в Ethereum; забрать можно через ~7 дней | 0xc53a6c…539024 |
Газ пришёл из Tornado Cash
Кошелёк атакующего в Base был пуст до 06:49 UTC, когда через собственный мост Base из Ethereum пришло 0,05 ETH. Отправитель в Ethereum, 0x707877cE44282896E417EbBDc5e7d4620A3366EF, появился за несколько минут до этого: в 06:43 он получил 0,098 ETH из пула Tornado Cash на 0,1 ETH, а в 06:46 перевёл из них 0,05 ETH на кошелёк атакующего в Base.
Значит, атаку готовили как минимум за два с половиной часа до первого перевода, а топливо для неё предварительно отмыли. Это исключает случайность или порыв одного из подписантов: всё было подготовлено.
Семь дней на мосту
В 10:47 кошелёк атакующего отправил 1 782,067 wstETH на новый адрес 0xC73448432a05deeA5Ea18a07D3b5d9ccf6297f8D (после пробного 1 wstETH часом раньше). Этот адрес выбрал самый медленный выход из возможных — официальный мост wstETH от Lido из Base в Ethereum. Он вывел 1 wstETH в 09:27 и 1 000 wstETH в 12:10, оба раза на свой же адрес в Ethereum, а газ в Ethereum оплатил через Gas.zip.
Вывод из Base в Ethereum не мгновенный. Его нужно доказать в Ethereum, а затем переждать период оспаривания — около семи дней, — и только после этого монеты можно забрать. Атакующий доказал оба вывода в Ethereum в 10:43 и 13:44 UTC 4 октября. Примерно до 11 октября эти 1 001 wstETH ни в одной из сетей нельзя потратить. Когда окно закроется, они появятся на том же адресе в Ethereum.
Оставшиеся 782,067 wstETH на 4 октября 16:00 UTC ещё в Base на 0xC73448432a05deeA5Ea18a07D3b5d9ccf6297f8D — скорее всего, ждут того же маршрута.
Эмитент не может заморозить wstETH. Но семь дней дают время: владельцам хранилища — объявиться, Base и её совету безопасности — посмотреть на эти выводы, а каждой бирже — узнать адрес до того, как монеты придут.
Чего эта страница не утверждает
Она не говорит, кто управляет каким-либо адресом, и не утверждает, что виноват кто-либо из подписантов Safe. То, что изменение белого списка несёт три действительные подписи, — факт в блокчейне; как эти подписи появились — нет. Об инциденте первыми сообщили Blockaid, PeckShield, CertiK и ExVul; источник газа, выводы через мост и балансы — наше собственное прочтение на 4 октября 2026 года.
Проверьте адрес сами
Бесплатно, без регистрации. Вставьте любой адрес и посмотрите, связан ли он с этим или другим инцидентом:
Источники: данные Base и Ethereum через Blockscout, прочитано 4 октября 2026 года; Blockaid, PeckShield, CertiK и ExVul — первые сообщения и последовательность изменений белого списка; Bitcoin.com News и The Crypto Times — адреса хранилища и Safe. Это информационный материал о транзакциях между адресами, а не финансовый или юридический совет, и он никого не называет виновным.