Aave-Gründer Stani Kulechov sagte, Aave v3 sei von einem Exploit unberührt geblieben, bei dem ungefähr 305.000 US-Dollar aus zwei Safe-Multisig-Wallets über einen Drittanbieter-Adapter abgezogen wurden, der auf dem Lending-Protokoll aufbaut.

„Das ist kein Aave-v3-Vertrag, es ist ein externer Drittanbieter-Adapter, der auf Aave aufbaut, ohne Auswirkungen auf Aave v3“, sagte Kulechov auf X.

Das Blockchain-Sicherheitsunternehmen SlowMist erklärte, der Angriff habe ein Modul ins Visier genommen, das dazu dient, gehebelte Aave-v3-Positionen über Safe-Wallets zu öffnen und zu schließen. Der Angreifer nutzte eine Schwachstelle in der Zugriffskontrolle aus, die es einem gefälschten Safe-Vertrag ermöglichte, die Autorisierungsprüfung des Adapters zu bestehen. 

SlowMist sagte, dass der Adapter es dem Aufrufer auch erlaubte, den Router und die Transaktionsdaten zu steuern, die für Swaps verwendet wurden. Der Angreifer nutzte diese Funktion, um Transaktionen über die Opfer-Safes auszuführen und weETH sowie Sicherheiten abzuschöpfen.

Laut SlowMist wurden während des Angriffs etwa 1.300 gewrappedte Ether (WETH) Schulden zurückgezahlt, um Sicherheiten freizuschalten. Der Angreifer stahl schließlich ungefähr 114,09 Ether (ETH), im Wert von rund 305.000 US-Dollar, von zwei Safe-Multisignatur-Wallets.

Das Sicherheitsunternehmen identifizierte den anfälligen FlashLoopAdapter-Vertrag und die Wallet des Angreifers, meldete jedoch keine Verluste für Aave v3 selbst.