ハッカーがAaveツールを悪用し114 ETHを盗む

Aave上に構築されたサードパーティの貸付アダプターが悪用され、約114.09 ETH（30万ドル以上相当）が盗まれましたが、Aaveプロトコル自体は影響を受けませんでした。10月2日、ブロックチェーンセキュリティ企業のSlowMistは、攻撃者がAave v3ポジションで使用されるFlashLoopAdapterの欠陥を通じて2つのSafeマルチシグウォレットを侵害したと報告しました。この悪用により、攻撃者は認証チェックを回避し、任意の呼び出しを実行し、影響を受けたウォレットから担保を引き出すことができました。SlowMistは、攻撃中に約1300 WETHの負債も返済され、ポジションに関連する担保が解除されたことを指摘しました。Aaveの創設者スタニ・クレチェフは、この事件がAave v3のコアスマートコントラクトには関与していないことを明らかにし、Aave v3にはゼロの影響を与えるサードパーティの外部アダプターであると述べました。この脆弱性は、FlashLoopAdapterのopen()およびclose()関数に起因し、これらは偽装される可能性がありました。攻撃者は、アダプターが有効であると偽って確認する偽のSafeコントラクトを作成し、アダプターが偽の認証を受け入れ、内部関数を実行できるようにしました。このアダプターは、呼び出し元が外部コントラクト呼び出しのためのルーターとコールデータを指定することも許可しました。攻撃者はルーターを被害者のSafeに戻し、SafeのexecTransactionFromModule関数を呼び出して、マルチシグウォレットからweETHと担保を引き出すことを可能にしました。この事件は、プロトコルのセキュリティが維持される一方で、統合が別の脆弱性を生むという分散型金融における繰り返されるリスクを強調しています。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。