Base金库遭大规模资产盗取，匿名运营加剧安全危机
一起针对未公开身份的Base链上金库的攻击事件导致约600万美元wstETH被非法转移。据Immunefi主管披露，该金库在事件发生时仍持有约3170万美元资产，且七名Safe多签签名者身份至今未明，运营方亦无公开回应。
白帽行动受限于法律模糊地带，披露路径严重缺失
由于金库管理方身份不明，一名曾发现其白名单漏洞的研究员面临巨大法律不确定性，难以在不触法前提下采取补救措施。尽管漏洞已提前一周被识别，但缺乏官方指定的报告通道，使得负责任披露几乎无法实现。
批准地址权限过载，无抵押提取构成核心风险
攻击者通过将恶意合约加入Safe多签白名单，绕过常规防护机制，成功提取1,783个aBaswstETH并兑换为wstETH。分析指出，一旦地址获得授权，系统即允许其无需提供任何抵押品即可调用资金，这一设计漏洞使白名单本身成为攻击入口。
长期无交易记录或暗示权限异常变更
在此次攻击前，该金库已有25天未发起任何Safe交易，引发外界对内部勾结或社会工程攻击的猜测。尽管尚无直接证据，但异常静默状态增加了对权限管理失控的担忧。
匿名架构阻碍善意干预，责任主体缺位加剧信任危机
Immunefi负责人强调，当项目运营方完全匿名时，任何试图修复漏洞的行为都可能被误读为攻击行为。这种环境不仅限制了安全研究人员的响应能力，也使公众难以判断项目背后的动机与可信度。
私密披露机制成关键，应预先设定应急规则
此前在Liquid Network事件中，一名行为人归还部分资金但拒绝接受合理赏金，最终被拒。首席执行官建议，应在威胁发生前就明确研究人员可采取的行动边界及奖励条款。Immunefi推出的“白帽避风港”框架旨在为此类场景提供制度保障。
赏金计划可有效拦截类似攻击，社区检测力不容忽视
Magalhães表示，若存在活跃的漏洞赏金计划，此类明显缺陷极有可能被安全社群提前捕获。数据显示，Immunefi 8月共支付232万美元赏金，确认漏洞数量较上月增长18%，累计防止374次潜在攻击。
审计竞赛优于传统审查，多重防御层至关重要
对比显示，竞赛式审计平均每次发现6.2个高危漏洞，远高于私人审计的1.5个。同时，仅4%的项目同时具备审计、赏金与第三方监控，而14个完成审计的项目仍遭攻破，主因包括密钥泄露、桥接验证失效及后端系统漏洞。
司法案例警示：未经授权操作代价高昂
美国司法部起诉的一名安全工程师因参与交易所攻击并谈判返还资金，被判承担法律责任。其在两起案件中分别索要140万与60万赏金未果，最终留下约360万美元赃款，凸显非法干预与法律后果之间的严重落差。
