Засновник Aave Стані Кулечов заявив, що версія Aave v3 залишилася неушкодженою після інциденту безпеки, який призвів до втрати близько 305 000 доларів із двох мультипідписних гаманців Safe через сторонній адаптер, створений на базі цього кредитного протоколу.
Це не контракт Aave v3, це зовнішній сторонній адаптер, створений поверх Aave, він не має жодного впливу на Aave v3, зазначив Кулечов у соцмережі X.
Компанія з кібербезпеки у блокчейні SlowMist повідомила, що атака була спрямована на модуль, який використовується для відкриття та закриття кредитних позицій Aave v3 через гаманці Safe. Зловмисник скористався вразливістю в системі контролю доступу, що дозволило підробленому контракту Safe пройти перевірку авторизації адаптера.
У SlowMist додали, що цей адаптер також надавав можливість керувати маршрутизатором та даними транзакцій для обміну активів. Зловмисник задіяв цей функціонал для проведення транзакцій через гаманці жертв з метою виведення weETH та забезпечення.
За даними SlowMist, під час атаки було погашено близько 1300 обернених Ether (WETH) боргу заради розблокування застави. Зрештою хакер викрав приблизно 114,09 Ether (ETH) вартістю близько 305 000 доларів із двох мультипідписів Safe.
Аналітики з безпеки виявили вразливий контракт FlashLoopAdapter та гаманця зловмисника, проте не зафіксували жодних збитків для самого протоколу Aave v3.
Терміни в новині
- Мультипідпис (multisig)
- Адреса чи гаманець, для витрати коштів з якого потрібні підписи кількох ключів, наприклад двох із трьох.
- Блокчейн
- Розподілена база даних із послідовно пов'язаних блоків з транзакціями. Копію зберігають тисячі учасників, тому змінити записи заднім числом практично неможливо.
- Транзакція
- Операція в блокчейні: переказ монет або виклик смарт-контракту, підписаний ключем відправника. Стає незворотною після підтвердження в блоці.
