Уязвимость модуля Aave позволила хакеру украсть около 114 ETH.

Уязвимость в модуле для лупинга на Aave v3 привела к краже около 114 ETH

В экосистеме Aave v3 произошёл инцидент с одним из сторонних модулей, предназначенных для автоматизации лупинговых стратегий. В результате атаки из двух мультисиг-кошельков Safe было выведено примерно 114,09 ETH. По данным опубликованных разборов, базовые контракты Aave v3 при этом не стали источником уязвимости.

Проблема находилась в смарт-контракте FlashLoopAdapter, который использовался для открытия и закрытия позиций с кредитным плечом. Ошибка была связана с механизмом проверки прав доступа: контракт доверял результату проверки, которую злоумышленник мог подделать с помощью специально созданного контракта, выдававшего себя за Safe.

После обхода защиты атакующий получил возможность управлять вызовами от имени кошельков, в которых уязвимый модуль уже был активирован. Это позволило ему взаимодействовать с позициями пользователей и вывести залоговые активы. Для разблокировки части обеспечения злоумышленник предварительно погасил около 1 335 WETH долга по одной из позиций, после чего из кошелька было выведено около 1 306 weETH. Второй Safe потерял ещё примерно 6,4 weETH.

Для проведения операции также использовался флэш-кредит WETH, полученный в протоколе Morpho и возвращённый в рамках той же транзакции. В итоге после конвертации части выведенных активов атакующий получил около 114,1 ETH.

Инцидент показывает, что дополнительные модули, получающие разрешение на выполнение операций через Safe, могут создавать отдельный уровень риска. В данном случае проблема затронула именно сторонний адаптер, а не основную инфраструктуру кредитного протокола Aave v3.