免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

从Base金库中提取600万美元：现在你可以如何利用你的DeFi存款

2026-10-05 17:56:45

10月4日Base层投资金库遭窃事件深度解析：权限管理漏洞与德国投资者的应对策略

2026年10月4日（星期日），以太坊Layer 2网络Base上的一处投资金库被清空，损失约1,783枚wstETH。按10月5日的价格计算，该价值约为600万美元。此次事件的关键并非协议代码存在漏洞，而是“白名单”权限管理出现了致命缺陷：攻击者将一个刚部署的合约加入金库白名单，通过该合约借出计息存款，并在Aave V3中将其兑换为Ether衍生品。

对于德国投资者而言，这并非遥远的协议事故。任何将资金存放在金库、收益产品或借贷策略中的用户，都依赖于此处失效的权限结构。本文将梳理事件经过，指出控制缺失的环节，并阐明德国投资者应如何审视自身配置。

10月4日早晨发生了什么：周日清晨流失的1,783枚wstETH

事件始于10月4日清晨。UTC时间08:52，金库所有者的Safe多签钱包从白名单中移除了一个属于攻击者的合约。一分钟后的08:53 UTC，同一合约再次被加入白名单。这两笔交易均带有现有签名者的有效签名。

UTC时间09:20，监控链上活动的安全公司给出的初步损失估计为202万美元。随着流出持续，上午的总损失增长至约600万美元。最终，1,783枚wstETH落入攻击者手中，并被转移至其控制的地址。

我们可以进行简单的算术验证：10月5日wstETH报价约为3,386美元，Ether本身约为2,720美元。按1,783枚单位计算，总额约为600万美元。报道中的数据在600万至610万美元之间波动，取决于所使用的具体价格时刻。数据并未被平滑处理：金额随价格波动而变化，而价格是动态的。

多家安全公司同时监控并分析了这一序列，包括Blockaid、PeckShield、CertiK和ExVul。正是因为这种同步性，即使金库运营方未发布声明，该事件也能以分钟为单位被详细记录。

白名单作为入口：新合约如何接触到资金

白名单是协议允许执行特定操作的地址或合约列表。不在列表上的内容将被拒绝。只要有一个条件成立，这种方法就被视为稳固：即有权更改列表的人必须是同一方。

这正是攻击切入的点。攻击者无需绕过计算规则，也无需找到Aave代码中的弱点。他们只需要在白名单上获得一个借用位置。一旦获得该位置，其合约在系统看来就与其他已批准的合约无异。

协议缺陷与权限缺陷的区别

当合约的计算逻辑出现算术错误（例如价格计算或利息公式错误）时，称为协议缺陷。当逻辑正确但错误的实体被允许操作时，称为权限缺陷。Base金库属于后者，这对存款人来说更为棘手：确认计算逻辑无误的审计，并不能说明权限列表是如何管理的。

另一个在多个分析中出现的细节是：在10月4日之前，金库的Safe钱包已有约25天未触发任何交易。一个存放数百万资金的容器数周无动静，当突然有交易出现时，往往无人察觉。

UTC时间08:52和08:53：Safe多签内部的逐分钟序列

这两笔白名单交易的短暂过程是整个事件中最奇怪的部分。移除后仅六十秒便重新接纳，这看起来不像操作失误。该序列更像是一个有人故意设定审批顺序的过程。

分析公司认为有两种可能的解释，且均以可能性而非结论表述：要么是现有签名者的密钥落入他人之手，要么是审批路径本身被操纵，导致签名者确认了与其认知不同的内容。究竟是哪一种尚不清楚。运营方未发布任何声明。

唯一可以确定的技术事实是：签名在密码学上是有效的。因此，对区块链而言，对权限列表的更改是合规操作。没有违反任何规则，也没有人可以根据签名拒绝它。

有效的ECDSA签名：3-of-7多签能做什么与不能做什么

根据链上分析，金库使用了一个阈值为3/7的Safe多签钱包。多签钱包要求达到设定的最小签名人数才能执行操作。3/7意味着七个存储密钥中的任意三个即可用于每次批准。

这种设计保护免受单个密钥丢失的影响。如果一个密钥失效，钱包仍可使用。但它对另一种风险提供很少的保护：任何同时持有七分之三密钥的人拥有完全控制权。由于七位签名者的身份不为公众所知，甚至无法从外部判断这七位签名者之间的独立性程度。

为何阈值本身不足以说明问题

多签的强度取决于密钥的分布。七个密钥分布在七个地点的手里，与七个密钥放在办公室的两台设备上，情况截然不同。从外部看两者相同：链上只显示阈值，不显示分布。如果你自行设置多签，分布才是发挥作用的部分；我们的多签钱包设置指南对此有详细说明。

第二点涉及延迟。许多协议在权限变更和生效之间设置锁定周期（时间锁）。权限列表的变更仅在24或48小时后才生效。在Base金库案例中，审批与流出之间没有此类期间。如果存在这样的机制，另一方将有数小时而非数秒的时间来反应。

对于你的持仓而言，这意味着：此类容器之外的托管由你独自决定。涉及哪些设备及其成本，请参阅我们的硬件钱包对比。

Aave V3与Base链：为何这是访问控制失败

Aave的核心合约或Base网络本身均未受到损害。在整个事件中，两者均按预期工作。攻击者将Aave V3用作支付柜台：他们借出计息存款并将其在那里交换为wstETH，这是任何已批准合约都被允许的操作。

这一区别对评估至关重要，且在快速报道中常被混淆。对Aave的攻击会影响协议的每个用户。而此处发生的事件仅影响单个金库及其存款人。这并不意味着受影响者的损失变小，但它改变了投资者需要提出的问题。关键在于谁控制你存入资金的容器，其次才是背后大型协议的安全性。

分析师称金库内仍有资金

根据链上分析，流出后金库内仍保留着八位数美元的资金，处于与流出部分相同的权限结构下。引用的数字约为3,170万美元。由于运营方未发表评论且未宣布恢复措施，该数字仅为外部估计。根据开发者社区的观察，部分收益已通过Lido基础设施桥接至以太坊；这也仅是观察，而非确证的归属。

wstETH、aBaswstETH和Lido：本案中的代币包装解释

此事件中出现了三个名称，它们层层递进。区分它们有助于理解为何流出需要两个步骤：

stETH：是对质押给Lido的Ether的索取权。
wstETH：是其包装版本，单位数量固定；收益反映在价格中而非数量中。
aBaswstETH：最终，这是在Base上存入Aave并赚取利息的wstETH的索取权。

攻击者借出了第三种形式，并将其赎回为第二种。每种包装均可交易，且各自携带自身风险：包装可能失去与基础资产的挂钩，而位于另一链上的包装还取决于将其带往那里的桥梁。任何通过这些堆栈产生收益的人都应在查看百分比之前先计算层级。

无运营商的金库：匿名发行商对存款人的意义

此案最引人注目的点不在技术层面。在首次分析报告发布之前，没有任何协议声称该金库，也没有任何一方宣布恢复。因此，这里有数百万资金、一个拥有七名未知签名者的多签钱包，而受害者无处可寻。

对于德国投资者而言，这与2026年1月1日以来受欧盟MiCA法规监管的所有内容具有决定性的法律差异。获得授权的加密资产服务提供商拥有注册办事处、监管机构和一个投诉地址。一个没有命名发行商的金库则不具备这些条件。在德国持有授权的服务提供商可在BaFin的公司数据库中查询。许多读者从用户端熟悉白名单这一组件：你自己交易所账户中的提款白名单基于相同的理念，只是在那里你自己决定谁在上面。

收益与交易对手风险：DeFi金库与持牌提供商的区别

金库通常承诺比受监管提供商处的质押报价更高的回报。这种溢价不是礼物。它是存款人承担风险的代价：权限结构的風險、橋接的風險，以及在可疑情況下無法聯繫到運營方的風險。

在受监管的提供商处，风险位于别处。你承担的是针对知名公司的交易对手风险，但伴有授权、报告义务和投诉渠道。哪种版本更适合取决于你能检查多少以及愿意检查多少。通往质押收益的受监管路线通常支付较少，但其背后有知名公司支撑。

案件符合今年的模式

根据行业统计，2026年9月超过7.66亿美元从交易所、桥接器和DeFi协议中消失，创下今年最高的月度数字。在今年较大的事件中，原因主要在于密钥和权限，其次是合约的计算逻辑。在Base金库两天前的10月2日，两个启用了围绕Aave v3的循环模块的Safe多签遭到打击，流出114.09 ETH；同样，核心池未受影响，故障同样在于权限过宽的辅助合约。

金库流出损失的税务立场：德国视角

在税务方面，德国的加密货币被盗并非明确规定的案例。根据现行法律，出售触发《所得税法》第23条下的私人处置。通过第三方访问导致的流出不是出售，因此可能附着损失的事件缺失。

在实践中，这意味着任何希望申报此类损失的人都需要有记录。这些记录包括存款的交易哈希、流出时刻的证明、金库地址以及你自己的获取成本的文档。税务局是否承认损失是个案决定的；没有普遍保证。大额影响的任何人应与税务顾问解决此事，而不是依赖文章。

在链上数据仍可见时，你可以记录什么

区块链数据不会消失，但分析服务会改变展示方式，提供商会关闭接口。受影响者应立即将交易记录和账户报表保存到文件中，而不是依赖服务的界面。这只需半小时，且日后无法弥补。

Base金库黑客事件：你决策的关键要点

查找谁持有你容器的权利。

对于持有资金的任何产品，问题都是一样的：谁可以更改权限列表，需要多少签名者，变更与生效之间是否有锁定期间？如果你找不到答案，答案就是“不存在”。对于你想自己持有的部分，我们的软件钱包对比有助于分类。

将收益余额与持仓分开。

长期不动的东西不属于拥有他人权限结构的容器。任何通过借贷产生回报的人将在借贷对比中找到受监管的路线；它们通常支付较少，但其背后有知名公司支撑。

保持购买轨迹可追溯。

任何税务分类，包括损失事件，都需要时间和获取成本。在德国获得授权并提供清晰记录的提供商列在我们的加密货币交易所概览中。

目前，Base金库仍然是一个没有发送者的案例。无论何种情况，它所显示的有用信息是：协议有多安全的问题与你控制自己资金的问题不同。没有审计能回答第二个问题；其答案在于签名者列表。

（截至2026年10月5日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核对条款。）

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文

20.00% 80.00%

利好

利空