-
Ang FlashLoopAdapter exploit ay nag-withdraw ng humigit-kumulang 114.09 ETH na nagkakahalaga ng halos $305,000 mula sa dalawang Safe wallets.
-
Ginamit ng mga umaatake ang spoofing sa Safe authentication check bago i-unlock at i-withdraw ang collateral ng biktima.
-
Ayon kay Stani Kulechov, ang founder ng Aave, ganap na hindi naapektuhan ang core Aave V3 contracts.
Isang bagong exploit na may kaugnayan sa Aave ang nag-withdraw ng humigit-kumulang 114 ETH na nagkakahalaga ng $305,000 mula sa dalawang Safe wallets sa Ethereum. Inexploit ng hacker ang isang third party adapter na konektado sa Aave V3, nilaktawan ang contract check, at in-unlock ang collateral ng mga wallets, dahilan ng pagkawala ng pondo.
Samantala, sinabi ni Stani Kulechov, founder ng Aave, na hindi naapektuhan ng atake ang core contracts ng Aave V3.
FlashLoopAdapter Exploit, Naka-withdraw ng 114 ETH
Iniulat ng blockchain security firm na SlowMist na ginagamit ng mga umaatake ang isang kahinaan sa FlashLoopAdapter, isang third-party contract na namamahala ng leveraged positions sa Aave V3.
Nilaktawan muna ng umaatake ang Safe authentication check sa iisang transaksyon. Pagkatapos, ginamit nila ang Morpho WETH flash loan upang bayaran ang utang at i-unlock ang collateral na hawak ng mga apektadong wallet.
Umabot sa humigit-kumulang 114.09 ETH ang na-withdraw sa atake, na nagkakahalaga ng humigit-kumulang $305,000 hanggang $310,000. Nag-withdraw ang transaksyon ng humigit-kumulang 1,306 weETH mula sa isang wallet, ngunit ang bilang na iyon ay sumasalamin lamang sa gross movement at hindi ang kabuuang nakuha ng umaatake.
Pekeng Safe Check, Bumukas ang Pintuan
Ang pangunahing kahinaan ay nagmula sa access-control system ng adapter. Sinisiyasat nito kung naka-enable ang module sa pamamagitan ng isang Safe contract. Gayunpaman, gumamit ang umaatake ng pekeng Safe na nagbigay ng positibong tugon.
Pinayagan nito ang umaatake na lampasan ang check at kontrolin ang router at transaction data na ginagamit ng adapter. Itinakda ng umaatake ang router sa Safe ng biktima at ginamit ang execution function ng module upang maglipat ng weETH at Aave collateral palabas sa mga wallets.
Ang dalawang Safe na apektado ay pagmamay-ari ng parehong tao. Pagkatapos ng atake, pinatay ng may-ari ang module upang maiwasan ang karagdagang pagkalugi.
Ang nanakaw na 114.09 ETH ay inilipat sa isang central address na tinukoy ng mga security monitor bilang 0x7a83…42f1.
Nagsimula ang umaatake na magpadala ng pondo nang pa-batch papunta sa Tornado Cash, isang non-custodial privacy mixer, na nagpapahirap subaybayan ang galaw ng nakaw na pondo.
Hindi Naapektuhan ang Aave V3 Contracts
“Hindi ito Aave v3 contract, ito ay third party external adapter na itinayo sa ibabaw ng Aave, zero effect sa Aave v3,” ayon kay Kulechov.
Ibig sabihin, ang exploit ay konektado sa custom automation layer at hindi sa pangunahing protocol contracts o liquidity pools ng Aave V3.
