Safe-кошельки потеряли $305 000 из-за атаки на адаптер

Взлом стороннего адаптера обошёлся Safe-кошелькам в $305 000

Злоумышленник вывел около $305 000 из двух мультиподписных Safe-кошельков, воспользовавшись уязвимостью стороннего адаптера, созданного на базе Aave v3, однако основной лендинговый протокол не пострадал. Основатель Aave Стани Кулечов пояснил, что был скомпрометирован внешний адаптер, а не сам контракт Aave v3, поэтому протокол не понёс ущерба.

SlowMist выявила вектор атаки: модуль, предназначенный для управления левередж-позициями Aave v3 через Safe-кошельки. Ошибка в авторизации позволила злоумышленнику представить поддельный контракт Safe, который адаптер принял за легитимный. Кроме того, архитектура адаптера давала вызывающему контроль над маршрутами и данными swap-транзакций, что и позволило атакующему провести несанкционированные операции через скомпрометированные Safe-кошельки.

Злоумышленник погасил около 1 300 WETH задолженности, чтобы разблокировать залог, а затем вывел примерно 114,09 ETH (около $305 000) из двух мультиподписных кошельков. SlowMist отследила уязвимый контракт FlashLoopAdapter и адрес злоумышленника, подтвердив, что Aave v3 не понёс прямых убытков в результате инцидента.