Hakerzy wykorzystują narzędzie Aave do kradzieży 114 ETH

Zewnętrzny adapter pożyczkowy zbudowany na Aave został wykorzystany do kradzieży około 114,09 ETH, wycenianych na ponad 300000 dolarów, podczas gdy sam protokół Aave pozostał nietknięty. 2 października firma zajmująca się bezpieczeństwem blockchain, SlowMist, poinformowała, że napastnik skompromitował dwa portfele multisig Safe poprzez lukę w FlashLoopAdapterze używanym z pozycjami Aave v3. To wykorzystanie pozwoliło napastnikowi na ominięcie kontroli autoryzacji, wykonanie dowolnych wywołań oraz wypłacenie zabezpieczeń z dotkniętych portfeli. SlowMist zauważył, że podczas ataku spłacono również około 1300 WETH, aby odblokować zabezpieczenia związane z pozycjami. Założyciel Aave, Stani Kulechov, wyjaśnił, że incydent nie dotyczył rdzeniowych kontraktów inteligentnych Aave v3, stwierdzając, że był to zewnętrzny adapter, który nie miał wpływu na Aave v3. Wrażliwość została zidentyfikowana w funkcjach open() i close() FlashLoopAdaptera, które mogły być fałszowane. Napastnik stworzył fałszywy kontrakt Safe, który błędnie potwierdzał, że adapter był włączony, co pozwoliło adapterowi na akceptację sfałszowanej autoryzacji i wykonanie wewnętrznych funkcji. Adapter pozwalał również wywołującemu na określenie routera i danych wywołania dla zewnętrznych wywołań kontraktów. Napastnik skierował router z powrotem do ofiary Safe i wywołał funkcję execTransactionFromModule Safe, co umożliwiło wypłatę weETH i zabezpieczeń z portfeli multisig. Incydent ten podkreśla powracające ryzyko w zdecentralizowanych finansach, gdzie bezpieczeństwo protokołu może pozostać nienaruszone, podczas gdy integracje tworzą osobne luki.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.