Gli hacker sfruttano uno strumento di Aave per rubare 114 ETH

Un adattatore di prestito di terze parti costruito su Aave è stato sfruttato per rubare circa 114,09 ETH, valutati oltre 300.000 dollari, mentre il protocollo Aave stesso è rimasto immune. Il 2 ottobre, la società di sicurezza blockchain SlowMist ha riportato che l'attaccante ha compromesso due portafogli multisig Safe attraverso una falla nel FlashLoopAdapter utilizzato con le posizioni di Aave v3. Questo exploit ha permesso all'attaccante di bypassare i controlli di autenticazione, eseguire chiamate arbitrarie e drenare il collaterale dai portafogli colpiti. SlowMist ha notato che durante l'attacco è stato anche rimborsato un debito di circa 1300 WETH per sbloccare il collaterale legato alle posizioni. Il fondatore di Aave, Stani Kulechov, ha chiarito che l'incidente non ha coinvolto i contratti intelligenti core di Aave v3, affermando che si trattava di un adattatore esterno di terze parti con zero effetti su Aave v3. La vulnerabilità è stata rintracciata nelle funzioni open() e close() del FlashLoopAdapter, che potevano essere falsificate. L'attaccante ha creato un contratto Safe falso che confermava erroneamente che l'adattatore era abilitato, consentendo all'adattatore di accettare autenticazioni contraffatte ed eseguire funzioni interne. L'adattatore ha anche permesso al chiamante di specificare il router e i dati di chiamata per le chiamate ai contratti esterni. L'attaccante ha diretto il router di nuovo al Safe vittima e ha invocato la funzione execTransactionFromModule di Safe, consentendo il prelievo di weETH e collaterale dai portafogli multisig. Questo incidente sottolinea un rischio ricorrente nella finanza decentralizzata, dove la sicurezza del protocollo può rimanere intatta mentre le integrazioni creano vulnerabilità separate.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.