Des hackers exploitent un outil Aave pour voler 114 ETH

Un adaptateur de prêt tiers construit sur Aave a été exploité pour voler environ 114,09 ETH, d'une valeur de plus de 300 000 dollars, tandis que le protocole Aave lui-même est resté intact. Le 2 octobre, la société de sécurité blockchain SlowMist a rapporté que l'attaquant avait compromis deux portefeuilles multisig Safe par le biais d'une faille dans le FlashLoopAdapter utilisé avec les positions Aave v3. Cette exploitation a permis à l'attaquant de contourner les vérifications d'authentification, d'exécuter des appels arbitraires et de vider les garanties des portefeuilles affectés. SlowMist a noté qu'environ 1300 WETH de dettes ont également été remboursés pendant l'attaque pour débloquer les garanties liées aux positions. Le fondateur d'Aave, Stani Kulechov, a précisé que l'incident n'impliquait pas les contrats intelligents principaux d'Aave v3, affirmant qu'il s'agissait d'un adaptateur externe tiers sans effet sur Aave v3. La vulnérabilité a été retracée aux fonctions open() et close() du FlashLoopAdapter, qui pouvaient être usurpées. L'attaquant a créé un faux contrat Safe qui a faussement confirmé que l'adaptateur était activé, permettant à l'adaptateur d'accepter une authentification falsifiée et d'exécuter des fonctions internes. L'adaptateur permettait également à l'appelant de spécifier le routeur et les données d'appel pour les appels de contrat externes. L'attaquant a dirigé le routeur vers le Safe victime et a invoqué la fonction execTransactionFromModule de Safe, permettant le retrait de weETH et de garanties des portefeuilles multisig. Cet incident souligne un risque récurrent dans la finance décentralisée, où la sécurité du protocole peut rester intacte tandis que les intégrations créent des vulnérabilités séparées.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.