Основатель Aave Стани Кулечов заявил, что версия Aave v3 осталась невредимой в результате инцидента, в ходе которого с двух мультисиг-кошельков Safe было похищено около 305 000 долларов через сторонний адаптер, созданный поверх протокола кредитования.
Это не контракт Aave v3, а сторонний внешний адаптер, созданный поверх Aave, никакого влияния на Aave v3 нет, написал Кулечов в соцсети X.
Компания по блокчейн-безопасности SlowMist сообщила, что атака была направлена на модуль, используемый для открытия и закрытия позиций с кредитным плечом в Aave v3 через кошельки Safe. Злоумышленник воспользовался уязвимостью контроля доступа, которая позволила поддельному контракту Safe пройти проверку авторизации адаптера.
В SlowMist отметили, что адаптер также позволял вызывающей стороне контролировать маршрутизатор и данные транзакций для обменов. Хакер задействовал эту функцию для выполнения транзакций через кошельки жертв и вывода weETH и залога.
По данным SlowMist, во время атаки было погашено около 1300 обернутых эфиров (WETH) долга для разблокировки залога. В конечном итоге злоумышленник похитил примерно 114,09 эфира (ETH) стоимостью около 305 000 долларов с двух мультисигов Safe.
Специалисты по безопасности выявили уязвимый контракт FlashLoopAdapter и кошелек злоумышленника, но не зафиксировали никаких убытков для самого протокола Aave v3.
Термины в новости
- Кредитное плечо
- Торговля заёмными средствами: с плечом 10× позиция в 10 раз больше собственных денег, а прибыль и убыток растут в той же пропорции.
- Блокчейн
- Распределённая база данных из последовательно связанных блоков с транзакциями. Копию хранят тысячи участников, поэтому изменить записи задним числом практически невозможно.
- Транзакция
- Операция в блокчейне: перевод монет или вызов смарт-контракта, подписанный ключом отправителя. Становится необратимой после подтверждения в блоке.
