Хакеры используют инструмент Aave для кражи 114 ETH

Адаптер стороннего кредитования, построенный на Aave, был использован для кражи примерно 114,09 ETH, стоимостью более 300000 долларов, в то время как сам протокол Aave остался невредимым. 2 октября компания по обеспечению безопасности блокчейнов SlowMist сообщила, что злоумышленник скомпрометировал два мультиподписных кошелька Safe через уязвимость в FlashLoopAdapter, используемом с позициями Aave v3. Эта уязвимость позволила злоумышленнику обойти проверки аутентификации, выполнять произвольные вызовы и выводить залог из затронутых кошельков. SlowMist отметила, что во время атаки также был погашен долг в размере около 1300 WETH, чтобы разблокировать залог, связанный с позициями. Основатель Aave Стани Кулечов уточнил, что инцидент не касался основных смарт-контрактов Aave v3, заявив, что это был сторонний внешний адаптер, не оказавший никакого влияния на Aave v3. Уязвимость была связана с функциями open() и close() FlashLoopAdapter, которые могли быть подделаны. Злоумышленник создал поддельный контракт Safe, который ложным образом подтвердил, что адаптер был включен, что позволило адаптеру принимать поддельную аутентификацию и выполнять внутренние функции. Адаптер также позволял вызывающему указать маршрутизатор и calldata для внешних вызовов контрактов. Злоумышленник направил маршрутизатор обратно к жертве Safe и вызвал функцию execTransactionFromModule Safe, что позволило вывести weETH и залог из мультиподписных кошельков. Этот инцидент подчеркивает повторяющийся риск в децентрализованных финансах, где безопасность протокола может оставаться неповрежденной, в то время как интеграции создают отдельные уязвимости.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.