Tin tặc lợi dụng công cụ Aave để đánh cắp 114 ETH

Một bộ điều hợp cho vay bên thứ ba được xây dựng trên Aave đã bị khai thác để đánh cắp khoảng 114,09 ETH, trị giá hơn 300.000 đô la, trong khi giao thức Aave vẫn không bị ảnh hưởng. Vào ngày 2 tháng 10, công ty bảo mật blockchain SlowMist đã báo cáo rằng kẻ tấn công đã xâm phạm hai ví multisig Safe thông qua một lỗ hổng trong FlashLoopAdapter được sử dụng với các vị trí Aave v3. Cuộc tấn công này cho phép kẻ tấn công vượt qua các kiểm tra xác thực, thực hiện các cuộc gọi tùy ý và rút tài sản thế chấp từ các ví bị ảnh hưởng. SlowMist lưu ý rằng khoảng 1300 WETH nợ cũng đã được trả trong suốt cuộc tấn công để mở khóa tài sản thế chấp liên quan đến các vị trí. Người sáng lập Aave, Stani Kulechov, đã làm rõ rằng sự cố này không liên quan đến các hợp đồng thông minh cốt lõi của Aave v3, cho biết đó là một bộ điều hợp bên thứ ba bên ngoài không ảnh hưởng gì đến Aave v3. Lỗ hổng được truy nguyên đến các chức năng open() và close() của FlashLoopAdapter, có thể bị giả mạo. Kẻ tấn công đã tạo ra một hợp đồng Safe giả mạo xác nhận sai rằng bộ điều hợp đã được kích hoạt, cho phép bộ điều hợp chấp nhận xác thực giả mạo và thực hiện các chức năng nội bộ. Bộ điều hợp cũng cho phép người gọi chỉ định bộ định tuyến và calldata cho các cuộc gọi hợp đồng bên ngoài. Kẻ tấn công đã chỉ định bộ định tuyến quay trở lại ví Safe của nạn nhân và gọi chức năng execTransactionFromModule của Safe, cho phép rút weETH và tài sản thế chấp từ các ví multisig. Sự cố này nhấn mạnh một rủi ro lặp đi lặp lại trong tài chính phi tập trung, nơi mà bảo mật giao thức có thể vẫn nguyên vẹn trong khi các tích hợp tạo ra các lỗ hổng riêng biệt.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.