هاكرز يستغلون أداة Aave لسرقة 114 ETH

تم استغلال محول إقراض تابع لجهة خارجية مبني على Aave لسرقة حوالي 114.09 ETH، والتي تقدر بأكثر من 300000 دولار، بينما ظل بروتوكول Aave نفسه غير متأثر. في 2 أكتوبر، أفادت شركة SlowMist للأمن السيبراني أن المهاجم قام باختراق محفظتين متعددتي التوقيع Safe من خلال ثغرة في FlashLoopAdapter المستخدمة مع مراكز Aave v3. سمح هذا الاستغلال للمهاجم بتجاوز فحوصات المصادقة، وتنفيذ استدعاءات عشوائية، وسحب الضمانات من المحافظ المتأثرة. أشارت SlowMist إلى أنه تم سداد حوالي 1300 WETH من الديون خلال الهجوم أيضًا لتحرير الضمانات المرتبطة بالمراكز. أوضح مؤسس Aave، ستاني كوليتشوف، أن الحادث لم يتضمن العقود الذكية الأساسية لـ Aave v3، مشيرًا إلى أنه كان محولًا خارجيًا تابعًا لجهة خارجية دون أي تأثير على Aave v3. تم تتبع الثغرة إلى دالتي open() و close() في FlashLoopAdapter، اللتين يمكن تزويرهما. أنشأ المهاجم عقد Safe مزيف أكد زيفًا أن المحول مفعل، مما سمح للمحول بقبول مصادقة مزورة وتنفيذ وظائف داخلية. كما سمح المحول للمتصل بتحديد الموجه وبيانات الاستدعاء لاستدعاءات العقود الخارجية. وجه المهاجم الموجه مرة أخرى إلى Safe الضحية واستدعى دالة execTransactionFromModule الخاصة بـ Safe، مما مكنه من سحب weETH والضمانات من المحافظ متعددة التوقيع. يبرز هذا الحادث خطرًا متكررًا في التمويل اللامركزي، حيث يمكن أن تظل أمان البروتوكول سليمًا بينما تخلق التكاملات ثغرات منفصلة.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.