Külső adapter hibájával 305 ezer dollárt loptak el, az Aave v3 nem sérült
Mintegy 305 ezer dollár értékű kriptovalutát loptak el két Safe multisig tárcából egy olyan támadásban, amely egy, az Aave v3-ra épülő külső adapter hibáját használta ki. Stani Kulechov, az Aave alapítója hangsúlyozta, hogy magát az Aave v3 protokollt nem érte támadás vagy veszteség: a probléma egy harmadik fél által fejlesztett, külső szerződésben volt.
A SlowMist blokkláncbiztonsági cég szerint az adaptert arra használták, hogy Safe tárcákon keresztül Aave v3-as tőkeáttételes pozíciókat nyissanak és zárjanak. A támadó egy hozzáférés-ellenőrzési hibát használt ki, amely lehetővé tette, hogy egy hamis Safe-szerződés átmenjen az adapter engedélyezési vizsgálatán. Az adapter emellett a router és a swapokhoz használt tranzakciós adatok vezérlését is a hívó félre bízta, így a támadó tranzakciókat hajthatott végre az érintett tárcákon keresztül.
A támadás során körülbelül 1300 WETH-nyi adósságot fizettek vissza, hogy felszabadítsák a fedezetként lekötött eszközöket. Ezt követően a támadó összesen mintegy 114,09 ETH-t vitt el a két Safe multisig tárcából. A SlowMist azonosította a sebezhető FlashLoopAdapter szerződést és a támadó pénztárcáját, ugyanakkor nem talált arra utaló jelet, hogy az Aave v3 saját szerződései vagy felhasználói közvetlen veszteséget szenvedtek volna el.