Los hackers explotan una herramienta de Aave para robar 114 ETH

Un adaptador de préstamo de terceros construido sobre Aave fue explotado para robar aproximadamente 114.09 ETH, valorados en más de 300,000 dólares, mientras que el protocolo Aave en sí permaneció sin afectar. El 2 de octubre, la firma de seguridad blockchain SlowMist informó que el atacante comprometió dos billeteras multisig Safe a través de una falla en el FlashLoopAdapter utilizado con las posiciones de Aave v3. Esta explotación permitió al atacante eludir las verificaciones de autenticación, ejecutar llamadas arbitrarias y drenar colaterales de las billeteras afectadas. SlowMist señaló que alrededor de 1300 WETH de deuda también se reembolsaron durante el ataque para desbloquear el colateral vinculado a las posiciones. El fundador de Aave, Stani Kulechov, aclaró que el incidente no involucró los contratos inteligentes centrales de Aave v3, afirmando que se trataba de un adaptador externo de terceros sin efecto en Aave v3. La vulnerabilidad se rastreó a las funciones open() y close() del FlashLoopAdapter, que podían ser suplantadas. El atacante creó un contrato Safe falso que confirmaba erróneamente que el adaptador estaba habilitado, lo que permitía al adaptador aceptar autenticaciones falsificadas y ejecutar funciones internas. El adaptador también permitía al llamador especificar el enrutador y los datos de llamada para las llamadas a contratos externos. El atacante dirigió el enrutador de vuelta a la billetera Safe de la víctima e invocó la función execTransactionFromModule de Safe, lo que permitió el retiro de weETH y colateral de las billeteras multisig. Este incidente subraya un riesgo recurrente en las finanzas descentralizadas, donde la seguridad del protocolo puede permanecer intacta mientras que las integraciones crean vulnerabilidades separadas.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.