Aave-Gründer sagt, V3 sei nach Exploit eines Drittanbieter-Adapters, bei dem 305.000 US-Dollar abgezogen wurden, nicht betroffen

Aave-Gründer Stani Kulechov sagte, Aave v3 sei von einem Exploit nicht betroffen gewesen, bei dem über einen auf dem Kreditprotokoll aufbauenden Drittanbieter-Adapter etwa 305.000 US-Dollar aus zwei Safe-Multisig-Wallets abgezogen wurden.

„Dies ist kein Aave-v3-Contract, sondern ein externer Drittanbieter-Adapter, der auf Aave aufbaut; keinerlei Auswirkungen auf Aave v3“, sagte Kulechov auf X.

Das Blockchain-Sicherheitsunternehmen SlowMist sagte, der Angriff habe ein Modul ins Visier genommen, das dazu verwendet wird, gehebelte Aave-v3-Positionen über Safe-Wallets zu eröffnen und zu schließen. Der Angreifer nutzte eine Schwachstelle bei der Zugriffskontrolle aus, durch die ein gefälschter Safe-Contract die Autorisierungsprüfung des Adapters bestehen konnte.

SlowMist sagte, der Adapter habe dem Aufrufer außerdem ermöglicht, den Router und die für Swaps verwendeten Transaktionsdaten zu kontrollieren. Der Angreifer nutzte diese Funktionalität, um Transaktionen über die Safes der Opfer auszuführen und weETH sowie Sicherheiten abzuziehen.

Laut SlowMist wurden während des Angriffs rund 1.300 Wrapped Ether (WETH) an Schulden zurückgezahlt, um Sicherheiten freizusetzen. Der Angreifer stahl letztlich etwa 114,09 Ether (ETH) im Wert von ungefähr 305.000 US-Dollar aus zwei Safe-Multisigs.

Das Sicherheitsunternehmen identifizierte den anfälligen FlashLoopAdapter-Contract und die Wallet des Angreifers, meldete jedoch keine Verluste bei Aave v3 selbst.