Aave-integraatiossa haavoittuvuus: 305 000 dollarin ETH-varkaus

Ethereum-verkossa on tapahtunut hyökkäys, joka kohdistui vivutettujen Aave V3 -positioiden hallintaan käytettyyn kustomoituun FlashLoopAdapter-sopimukseen. Kahdesta Safe-lompakosta vietiin arviolta 114,09 ETH, mikä vastaa noin 305 000 dollaria.

Hyökkääjä väärensi Safe-todennustarkistuksen ja käytti Morpho WETH -flash-lainaa (pikalaina) velkojen takaisinmaksuun ja vakuuksien vapauttamiseen. Toisesta lompakosta nostettu noin 1 306 weETH:n summa kuvastaa bruttomääräistä rahaliikennettä, ei hyökkääjän saamaa nettovoittoa.

SlowMist: Aave v3 Loop Safe Module Exploited, Approximately 114.09 ETH Stolen

SlowMist issued a security alert stating that Aave v3 Loop Safe Module was exploited through an access-control vulnerability in FlashLoopAdapter’s open() and close() functions. The attacker allegedly… pic.twitter.com/a97iMcGWnI

— Wu Blockchain (@WuBlockchain) October 2, 2026

Defimon Alerts havaitsi Ethereum-hyökkäyksen torstaina 1. lokakuuta kello 15:08:57 UTC. SlowMist julkaisi analyysinsa perjantaina 2. lokakuuta ja tunnisti heikkouden adapterin avaus- ja sulkemistoiminnoissa. Haitallinen älysopimus pystyi tekeytymään Safe-lompakoksi ja palauttamaan arvon, joka läpäisi tarkistuksen. Tarkistuksen tarkoituksena oli varmistaa, että FlashLoopAdapterin oli ottanut käyttöön oikea lompakko.

Aave-hakkerin hallitsema sopimus toimitti myös adapterin vaihtoreitittimen (swap router) ja kutsudatan (calldata). Reititin osoitettiin uhrin Safe-lompakkoon ja kutsudata asetettiin käynnistämään execTransactionFromModule-toiminto. Koska FlashLoopAdapter oli jo aktivoitu kyseisessä Safessa, lompakko hyväksyi kutsun valtuutettuna moduulitapahtumana.

Tämä tapahtumaketju muutti pienen todennusvirheen pääsyksi lompakon hallitsemiin vakuuksiin. Tapaus korostaa lompakoiden käyttöoikeuksien ja suorituspolkujen merkitystä itse lainausprotokollan turvallisuuden rinnalla. Sama huoli on keskeinen myös säilytysinfrastruktuurin ja todennusvalvonnan kehityksessä.

Flash-laina maksoi Aave-velat ennen vakuuksien nostoa

Hyökkääjä hyödynsi Morpho-pikalainaa WETH-muodossa maksaakseen takaisin noin 1 335 WETH:n edestä Aave-velkaa, joka liittyi suurempaan Safe-lompakkoon. Takaisinmaksu vapautti vivutettuun positioon sidotut vakuudet, mikä mahdollisti noin 1 306 weETH:n nostamisen. Toinen Safe-lompakko menetti noin 6,4 weETH:ta saman haavoittuvan moduulin kautta.

Molemmat kyseiset Safet kuuluivat samalle omistajalle. Kun lainatut varat oli selvitetty ja osa varoista vaihdettu, hyökkääjälle jäi noin 114,09 ETH:ta. Turvallisuusraporttien mukaan tämän arvo on noin 305 000 dollaria.

Ero bruttoliikenteen ja toteutuneen tappion välillä on olennainen. Suuri vakuusnosto mahdollisti velan takaisinmaksun ja position purkamisen, eikä sitä tule tulkita varastetuksi määräksi. Raportoitu nettovoitto oli se määrä ETH:ta, joka jäi jäljelle näiden vaiheiden jälkeen.

Aave: Ydinsopimuksiin ei vaikutusta

Aaven perustaja ja toimitusjohtaja Stani Kulechov totesi, että haavoittuva komponentti oli ulkoinen integraatio, ei Aave V3 -sopimus. Hänen mukaansa tapauksella oli “nollavaikutus Aave v3:een”.

This is not Aave v3 contract, it’s third party external adapter built on top of Aave, zero effect on Aave v3.

— Stani (@StaniKulechov) October 2, 2026

SlowMist luokitteli tapauksen älysopimushaavoittuvuudeksi ja katsoi sen johtuvan väärennettävissä olevasta Safe-tarkistuksesta. Defimon kuvaili FlashLoopAdapteria Safe-moduuliksi, jolla hallitaan vivutettuja Aave V3 -positioita, ja arvioi tappioksi noin 305 000 dollaria.

FlashLoopAdapter on kustomoitu sopimus, joka on rakennettu Aave V3:n päälle hallitsemaan positioita Safe-lompakoissa, joissa se on käytössä. Safe-moduulit voivat suorittaa lompakon tapahtumia ilman omistajan erillistä hyväksyntää jokaiselle siirrolle. Tämä tukee automaatiota, mutta tarjoaa valtuutetulle moduulille myös reitin lompakon varoihin.

Tässä tapauksessa itse moduulin käyttöoikeus ei ollut raportoitu virhe, vaan ongelma oli adapterin kutsujan todennuksessa ja suorituslogiikassa. Kyseessä on siis DeFi-turvallisuusvirhe integraatiotasolla, ei osoitus Aave V3:n lainauspoolien vaarantumisesta.

Lähde mainitsee myös erillisen, syyskuussa tapahtuneen Safe-lompakkoon liittyneen tapauksen, jossa menetettiin noin 2 900 rsETH heikon valtuutuksen vuoksi. Nämä kaksi tapausta liittyivät kuitenkin eri sopimuksiin ja hyökkäystapoihin.