Fundador da Aave diz que a V3 não foi afetada após exploit de adaptador de terceiros drenar US$ 305 mil

O fundador da Aave, Stani Kulechov, disse que a Aave v3 não foi afetada por um exploit que drenou aproximadamente US$ 305.000 de duas carteiras multisig da Safe por meio de um adaptador de terceiros construído sobre o protocolo de empréstimos.

“Este não é o contrato da Aave v3, mas um adaptador externo de terceiros construído sobre a Aave; o efeito sobre a Aave v3 foi zero”, Kulechov disse no X.

A empresa de segurança blockchain SlowMist disse que o ataque teve como alvo um módulo usado para abrir e fechar posições alavancadas na Aave v3 por meio de carteiras Safe. O invasor explorou uma falha de controle de acesso que permitia que um contrato Safe falso passasse pela verificação de autorização do adaptador. 

A SlowMist disse que o adaptador também permitia que o chamador controlasse o roteador e os dados de transação usados nas trocas. O invasor usou essa funcionalidade para executar transações por meio das Safes das vítimas e drenar weETH e garantias.

Cerca de 1.300 Ether encapsulados (WETH) em dívida foram reembolsados durante o ataque para desbloquear as garantias, segundo a SlowMist. No fim, o invasor roubou cerca de 114,09 Ether (ETH), no valor aproximado de US$ 305.000, de duas multisigs da Safe.

A empresa de segurança identificou o contrato vulnerável FlashLoopAdapter e a carteira do invasor, mas não relatou perdas para a própria Aave v3.

Relacionado: Aave lança a V4 na Avalanche, preparando o terreno para mercados de crédito tokenizados