Хакери використовують інструмент Aave для крадіжки 114 ETH

Третій сторонній адаптер кредитування, побудований на Aave, був використаний для крадіжки приблизно 114,09 ETH, що оцінюється більш ніж у 300000 доларів, в той час як сам протокол Aave залишився неушкодженим. 2 жовтня компанія з безпеки блокчейнів SlowMist повідомила, що зловмисник скомпрометував два мультипідписні гаманці Safe через вразливість у FlashLoopAdapter, який використовувався з позиціями Aave v3. Ця експлуатація дозволила зловмиснику обійти перевірки автентифікації, виконати довільні виклики та вивести заставу з уражених гаманців. SlowMist зазначила, що під час атаки також було погашено близько 1300 WETH боргу, щоб розблокувати заставу, пов'язану з позиціями. Засновник Aave Стани Кулечов уточнив, що інцидент не стосувався основних смарт-контрактів Aave v3, зазначивши, що це був третій сторонній зовнішній адаптер з нульовим впливом на Aave v3. Вразливість була виявлена у функціях open() та close() FlashLoopAdapter, які могли бути підроблені. Зловмисник створив підроблений контракт Safe, який неправдиво підтвердив, що адаптер увімкнено, що дозволило адаптеру приймати підроблену автентифікацію та виконувати внутрішні функції. Адаптер також дозволяв виклику вказувати маршрутизатор і calldata для зовнішніх викликів контрактів. Зловмисник перенаправив маршрутизатор назад до жертви Safe і викликав функцію execTransactionFromModule Safe, що дозволило вивести weETH та заставу з мультипідписних гаманців. Цей інцидент підкреслює повторюваний ризик у децентралізованих фінансах, де безпека протоколу може залишатися незмінною, в той час як інтеграції створюють окремі вразливості.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.