駭客利用 Aave 工具竊取 114 ETH

一個基於 Aave 的第三方借貸適配器被利用，竊取了約 114.09 ETH，價值超過 30 萬美元，而 Aave 協議本身並未受到影響。10 月 2 日，區塊鏈安全公司 SlowMist 報告稱，攻擊者通過 Aave v3 位置中使用的 FlashLoopAdapter 的漏洞，入侵了兩個 Safe 多重簽名錢包。這次攻擊使攻擊者能夠繞過身份驗證檢查，執行任意調用，並從受影響的錢包中提取抵押品。SlowMist 指出，在攻擊期間還償還了約 1300 WETH 的債務，以解鎖與這些位置相關的抵押品。Aave 創始人 Stani Kulechov 澄清說，事件並未涉及 Aave v3 的核心智能合約，並表示這是一個第三方外部適配器，對 Aave v3 沒有影響。漏洞追溯到 FlashLoopAdapter 的 open() 和 close() 函數，這些函數可能被偽造。攻擊者創建了一個假 Safe 合約，虛假確認適配器已啟用，允許適配器接受偽造的身份驗證並執行內部功能。該適配器還允許調用者指定路由器和外部合約調用的 calldata。攻擊者將路由器指向受害者 Safe，並調用 Safe 的 execTransactionFromModule 函數，從多重簽名錢包中提取 weETH 和抵押品。這一事件突顯了去中心化金融中反覆出現的風險，即協議安全性可以保持完整，而整合卻可能創造出獨立的漏洞。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。