Aave V3: violato FlashLoopAdapter per $305.000 su Ethereum

Condividi

Copiato

Divulgazione Annunci

Divulgazione Annunci

Crediamo nella completa trasparenza con i nostri lettori. Alcuni dei nostri contenuti includono link di affiliazione e potremmo guadagnare una commissione attraverso queste partnership. Tuttavia, questa potenziale compensazione non influenza mai le nostre analisi, opinioni o pareri. I nostri contenuti editoriali vengono creati indipendentemente dalle nostre partnership di marketing e le nostre valutazioni si basano esclusivamente sui nostri criteri di valutazione stabiliti. Per saperne di più clicca qui.

Ultimo aggiornamento: 

Ottobre 2, 2026

Un adapter personalizzato, denominato FlashLoopAdapter e utilizzato per gestire posizioni in leva su Aave V3, è stato oggetto di un exploit su Ethereum. L’attacco ha colpito due Safe wallet, causando una perdita netta stimata di 114,09 ETH, pari a circa 305.000 dollari.

L’attaccante ha falsificato un controllo di autenticazione di Safe, utilizzando poi un flash loan in WETH tramite Morpho per ripagare il debito e sbloccare il collaterale. I circa 1.306 weETH prelevati da uno dei wallet rappresentano un flusso di transazioni lordo e non il profitto netto ottenuto dall’hacker.

SlowMist: Aave v3 Loop Safe Module Exploited, Approximately 114.09 ETH Stolen

SlowMist issued a security alert stating that Aave v3 Loop Safe Module was exploited through an access-control vulnerability in FlashLoopAdapter’s open() and close() functions. The attacker allegedly… pic.twitter.com/a97iMcGWnI

— Wu Blockchain (@WuBlockchain) October 2, 2026

Defimon Alerts ha riferito di aver rilevato l’attacco su Ethereum alle 15:08:57 UTC di giovedì 1 ottobre. SlowMist ha pubblicato la propria analisi venerdì 2 ottobre, identificando una falla nelle funzioni di apertura e chiusura dell’adapter. Un contratto malevolo è riuscito a spacciarsi per un Safe, superando un controllo che avrebbe dovuto confermare l’abilitazione del FlashLoopAdapter da parte di un wallet legittimo.

Il contratto controllato dall’attaccante ha inoltre fornito lo swap router e i calldata dell’adapter, indirizzando il router verso un Safe vittima e impostando i calldata per invocare execTransactionFromModule. Poiché FlashLoopAdapter era già abilitato su quel Safe, il wallet ha accettato la chiamata come una transazione autorizzata dal modulo.

Questa sequenza ha trasformato un circoscritto difetto di autenticazione in un accesso diretto al collaterale controllato dal wallet. L’episodio evidenzia quanto le autorizzazioni dei wallet e i percorsi di esecuzione siano cruciali, parallelamente alla sicurezza del protocollo di lending stesso, un tema centrale anche per le infrastrutture di custodia e i controlli di autenticazione.

Il flash loan hack ha estinto il debito Aave prima del prelievo del collaterale

L’attaccante ha impiegato un flash loan di Morpho denominato in WETH per ripagare circa 1.335 WETH di debito su Aave associato al Safe principale. Il rimborso ha liberato il collaterale vincolato alla posizione in leva, consentendo il prelievo di circa 1.306 weETH. Un secondo Safe ha perso circa 6,4 weETH attraverso lo stesso modulo vulnerabile.

Entrambi i Safe colpiti appartenevano a un unico proprietario. Una volta saldati i fondi presi in prestito e convertiti alcuni asset, l’attaccante ha trattenuto circa 114,09 ETH, che i rapporti di sicurezza hanno valutato intorno ai 305.000 dollari.

La distinzione tra movimento lordo e perdita realizzata è sostanziale. L’ingente prelievo di collaterale è servito a rimborsare il debito e a chiudere la posizione; non deve quindi essere interpretato come l’ammontare totale rubato. Il profitto netto riportato corrisponde agli ETH rimanenti dopo i vari passaggi della transazione.

Aave conferma: nessun impatto sui contratti core

Il fondatore e CEO di Aave, Stani Kulechov, ha precisato che il componente vulnerabile era un’integrazione esterna e non un contratto di Aave V3, dichiarando che l’incidente ha avuto “zero effetti su Aave v3”.

This is not Aave v3 contract, it’s third party external adapter built on top of Aave, zero effect on Aave v3.

— Stani (@StaniKulechov) October 2, 2026

SlowMist ha classificato l’accaduto come una vulnerabilità di smart contract, attribuendo il bypass al controllo Safe falsificabile. Defimon ha descritto FlashLoopAdapter come un modulo Safe per l’apertura e la chiusura di loop in leva su Aave V3, stimando la perdita a circa 305.000 dollari.

FlashLoopAdapter è un contratto personalizzato costruito su Aave V3 per la gestione di posizioni in leva nei Safe che lo hanno abilitato. I moduli Safe possono eseguire transazioni senza richiedere ogni volta il flusso standard di autorizzazione del proprietario; ciò favorisce l’automazione, ma apre anche una via verso gli asset del wallet per i moduli autorizzati.

In questo caso, il problema non risiedeva nel permesso concesso al modulo, bensì nella logica di autenticazione del chiamante e di esecuzione dell’adapter. Si tratta dunque di un fallimento della sicurezza DeFi a livello di integrazione, e non di una prova di compromissione delle pool di prestito di Aave V3.

La fonte primaria segnala inoltre un incidente separato avvenuto a settembre su un Safe wallet, che ha coinvolto circa 2.900 rsETH a causa di una debole autorizzazione in un esecutore collegato a un modulo abilitato; tuttavia, i due eventi hanno riguardato contratti e percorsi di attacco differenti.