Ataque a una bóveda de Base dejó pérdidas cercanas a USD $6 millones

Según un reporte citado por ChainCatcher, una bóveda de tesorería en Base perdió cerca de USD $6 millones después de que un contrato malicioso entrara en la lista blanca de préstamos mediante una multisig de Safe. El reporte también advirtió que otros USD $31,7 millones en activos permanecían en riesgo, aunque señaló que Aave V3 y la red Base no fueron afectados.
***

• El atacante retiró 1.783 aBaswstETH y los canjeó por aproximadamente 1.783 wstETH en Aave V3.
• El equipo de seguridad de GoPlus atribuyó el incidente a fallas de gobernanza de la multisig y de control de accesos.
• La tesorería no registraba transacciones de Safe del equipo del proyecto durante los 25 días anteriores al ataque.

---

Base: una bóveda de tesorería perdió cerca de USD 6 millones

Un contrato malicioso habría sido añadido a la lista blanca de préstamos mediante una multisig de Safe.

Otros USD 31,7 millones seguían en riesgo. Aave V3 y la red Base no fueron afectados. pic.twitter.com/QDI9LA5Bxu

— Diario฿itcoin (@DiarioBitcoin) October 5, 2026

Según un reporte citado por ChainCatcher, una bóveda de tesorería en Base perdió activos valorados en cerca de USD $6 millones. El reporte también advirtió que otros USD $31,7 millones seguían en riesgo dentro del contrato comprometido.

De acuerdo con la información de ChainCatcher, el equipo de seguridad de GoPlus indicó que el atacante incorporó un contrato malicioso a la lista blanca de préstamos mediante una multisig de Safe. Luego retiró 1.783 aBaswstETH y los canjeó por aproximadamente 1.783 wstETH en Aave V3. El reporte señaló que los contratos principales de ese protocolo y la propia red Base no resultaron afectados.

La ruta del ataque a la bóveda

El incidente afectó un contrato de tesorería desplegado en Base que, según el reporte, el equipo del proyecto no había reivindicado públicamente. La información disponible no identifica al proyecto ni precisa cuándo se creó el contrato, por lo que el alcance conocido se limita a la bóveda comprometida, los activos retirados y los controles que el atacante habría logrado sortear.

La secuencia descrita comenzó cuando una multisig de Safe permitió añadir un contrato malicioso a la lista blanca de préstamos. Una lista blanca es un mecanismo que restringe determinadas operaciones a contratos autorizados, de modo que incluir allí una dirección puede habilitar acciones que de otro modo quedarían bloqueadas; en este caso, el atacante habría aprovechado esa autorización para retirar activos.

El reporte cifra la extracción en 1.783 aBaswstETH, que después se canjearon por una cantidad aproximada de 1.783 wstETH en Aave V3. La fuente calcula las pérdidas en alrededor de USD $6 millones, aunque no especifica el método de valoración ni el momento exacto usado para estimar esa cifra; por eso, el monto debe entenderse como una aproximación comunicada por el reporte.

El uso de aBaswstETH y wstETH distingue dos etapas de la operación: primero, la retirada de los activos representados por el token aBaswstETH y, después, su canje por wstETH en Aave V3. El reporte no detalla las transacciones individuales, la dirección que recibió los fondos ni si hubo movimientos posteriores, así que no es posible afirmar qué ocurrió con los activos después de ese canje.

Señalamientos sobre gobernanza y accesos

GoPlus situó el origen del ataque en fallas de gobernanza de la multisig y de control de accesos. En términos generales, una multisig exige la aprobación de más de una clave para ejecutar operaciones, pero ese requisito por sí solo no garantiza seguridad: también importa quién controla las claves, cómo se revisan las propuestas y qué permisos puede conceder una transacción.

La señal temporal que destaca el reporte es que el equipo del proyecto no habría ejecutado transacciones de Safe sobre el contrato de tesorería durante los 25 días anteriores al ataque. Ese dato no demuestra por sí solo cómo consiguió acceso el atacante ni quién aprobó la operación, pero llevó a GoPlus a plantear como posibilidades la ingeniería social o una colusión interna.

Esas dos hipótesis deben conservar su carácter de posibilidades y no presentarse como conclusiones confirmadas. La información difundida no aporta pruebas sobre la identidad del atacante, una eventual participación interna ni el método concreto con que se habrían obtenido las aprobaciones de la multisig; tampoco explica si los firmantes recibieron una solicitud engañosa o si existió otra falla en los permisos.

La ausencia de operaciones registradas durante ese período tampoco permite determinar, sin más datos, si la tesorería carecía de supervisión o si simplemente no necesitaba ejecutar transacciones. Sí subraya un punto operativo: cuando una bóveda depende de una multisig, resulta importante revisar las autorizaciones y entender qué contratos pueden incorporarse a listas de acceso, sobre todo antes de aprobar cambios que habilitan retiros.

Activos que permanecían en riesgo y alcance

Al momento de la publicación, unos USD $31,7 millones en activos permanecían en riesgo dentro de la tesorería comprometida, según la información citada por ChainCatcher. La cifra describe exposición residual y no equivale a una pérdida adicional ya consumada; el reporte no informa qué activos componen ese saldo ni si el equipo había iniciado medidas para protegerlo.

La distinción entre lo sustraído y lo que todavía está en riesgo es relevante para dimensionar el incidente. La primera cifra, cercana a USD $6 millones, corresponde a las pérdidas atribuidas al ataque, mientras que los USD $31,7 millones señalan activos que seguían expuestos en la bóveda, sin que la fuente confirme que también fueran retirados.

El reporte indica expresamente que los contratos principales de Aave y la red Base no fueron afectados. El hecho de que el atacante canjeara los activos en Aave V3 no significa que hubiera vulnerado ese protocolo: según la información disponible, el problema se originó en los controles de la tesorería y en la autorización concedida mediante la multisig.

La información difundida no incluye una actualización posterior sobre el estado de los fondos expuestos, una respuesta del equipo del proyecto ni detalles adicionales de la investigación. Por ahora, el caso deja dos cifras distintas y una advertencia concreta: el retiro de cerca de USD $6 millones se atribuye al ataque, mientras que otros USD $31,7 millones seguían en riesgo cuando se publicó el reporte.

---

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.