Кастомный модуль FlashLoopAdapter, использовавшийся для управления leveraged-позициями Aave v3, был взломан в Ethereum. По данным SlowMist, злоумышленник обошел контроль доступа и вывел из двух Safe-кошельков около 114,09 ETH — примерно $305 000.
Суть атаки. Уязвимость находилась в функциях open() и close() адаптера: проверка ISafe(msg.sender).isModuleEnabled(address(this)) позволяла подставному Safe-контракту возвращать true. Затем через управляемые call-параметры атакующий направил вызов на execTransactionFromModule жертвы и распорядился залоговыми активами.
Механика вывода. Злоумышленник взял флеш-кредит Morpho в WETH, погасил около 1 335 WETH долга по Aave, после чего с первого кошелька было выведено примерно 1 306 weETH. Второй Safe потерял еще 6,4 weETH. Оба кошелька принадлежали одному владельцу. Чистая прибыль атакующего составила около 114,1 ETH.
Основатель Aave Стани Кулечов подчеркнул, что взломанный контракт — сторонний адаптер поверх Aave и «нулевым образом» не влияет на Aave v3. Аналогичный инцидент с Safe-модулем произошел в сентябре, когда было затронуто около 2 900 rsETH.
Затронутые активы: ETH/WETH и weETH использовались в атаке; токен AAVE напрямую не пострадал, поскольку уязвимость не относится к протоколу Aave v3.
