-
Eksploitasi FlashLoopAdapter menguras sekitar 114,09 ETH senilai hampir $305.000 dari dua dompet Safe.
-
Penyerang memalsukan pemeriksaan autentikasi Safe sebelum membuka dan menarik agunan milik korban.
-
Pendiri Aave Stani Kulechov mengatakan kontrak inti Aave V3 sama sekali tidak terpengaruh.
Eksploitasi baru terkait Aave telah menguras sekitar 114 ETH senilai $305.000 dari dua dompet Safe di Ethereum. Peretas memanfaatkan adapter pihak ketiga yang terhubung dengan Aave V3, melewati pemeriksaan kontrak, dan membuka agunan di dompet tersebut sehingga menyebabkan kehilangan dana.
Sementara itu, pendiri Aave Stani Kulechov menyatakan serangan ini tidak mempengaruhi kontrak inti Aave V3.
Eksploitasi FlashLoopAdapter Menguras 114 ETH
Perusahaan keamanan blockchain SlowMist melaporkan bahwa penyerang mengeksploitasi kelemahan di FlashLoopAdapter, kontrak pihak ketiga yang mengelola posisi leverage di Aave V3.
Penyerang pertama-tama melewati pemeriksaan autentikasi Safe dalam satu transaksi. Mereka kemudian menggunakan pinjaman flash Morpho WETH untuk melunasi utang dan membuka agunan yang dimiliki dompet yang terdampak.
Serangan ini pada akhirnya menguras sekitar 114,09 ETH, yang nilainya sekitar $305.000 hingga $310.000. Transaksi tersebut menarik sekitar 1.306 weETH dari satu dompet, namun angka tersebut mencerminkan pergerakan bruto, bukan keuntungan akhir penyerang.
Pemeriksaan Safe Palsu Membuka Jalan
Kelemahan utama berasal dari sistem kontrol akses adapter. Sistem tersebut memeriksa apakah modul telah diaktifkan melalui kontrak Safe. Namun, penyerang menggunakan Safe palsu yang memberikan respons positif.
Hal ini memungkinkan penyerang melewati pengecekan dan mengontrol router serta data transaksi yang digunakan oleh adapter. Penyerang kemudian mengatur router ke Safe milik korban dan menggunakan fungsi eksekusi modul untuk memindahkan weETH dan agunan Aave keluar dari dompet.
Kedua Safe yang terdampak dimiliki oleh pemilik yang sama. Setelah serangan, pemilik menonaktifkan modul untuk mencegah kerugian lebih lanjut.
Sebanyak 114,09 ETH yang dicuri kemudian dipindahkan ke alamat pusat yang diidentifikasi oleh pemantau keamanan sebagai 0x7a83…42f1.
Penyerang kemudian mulai mengirim dana tersebut secara bertahap ke Tornado Cash, sebuah mixer privasi non-custodial, sehingga pergerakan dana hasil curian menjadi lebih sulit dilacak.
Kontrak Aave V3 Tetap Tidak Terpengaruh
“Ini bukan kontrak Aave V3, ini adapter pihak ketiga eksternal yang dibangun di atas Aave, tidak ada efek pada Aave V3,” kata Kulechov.
Ini berarti eksploitasi tersebut terkait dengan lapisan otomasi khusus, bukan pada kontrak protokol utama atau pool likuiditas Aave V3.
