Aave V3 integratie gehackt: $305.000 buitgemaakt via Safe-wallets

Een aangepaste FlashLoopAdapter, die werd gebruikt voor het beheren van leveraged Aave V3-posities, is het doelwit geworden van een hack op Ethereum. Hierbij liepen twee Safe-wallets een geschat nettoverlies op van 114,09 ETH, wat neerkomt op ongeveer $305.000.

De aanval werd uitgevoerd door een Safe-authenticatiecontrole te spoofen, waarna de hacker een Morpho WETH flash loan gebruikte om schulden af te lossen en onderpand vrij te spelen. Hoewel er ongeveer 1.306 weETH uit één wallet werd opgenomen, betrof dit een bruto transactiestroom en niet de netto winst van de aanvaller.

SlowMist: Aave v3 Loop Safe Module Exploited, Approximately 114.09 ETH Stolen

SlowMist issued a security alert stating that Aave v3 Loop Safe Module was exploited through an access-control vulnerability in FlashLoopAdapter’s open() and close() functions. The attacker allegedly… pic.twitter.com/a97iMcGWnI

— Wu Blockchain (@WuBlockchain) October 2, 2026

Defimon Alerts meldde dat de aanval op Ethereum werd gedetecteerd om 15:08:57 UTC op donderdag 1 oktober. SlowMist publiceerde op vrijdag 2 oktober een analyse waarin een zwakte in de open- en sluitfuncties van de adapter werd geïdentificeerd. Een kwaadaardig contract kon zich voordoen als een Safe en die waarde retourneren, waardoor een controle werd omzeild die bedoeld was om te bevestigen dat een legitieme wallet de FlashLoopAdapter had geactiveerd.

Het door de aanvaller beheerde contract leverde ook de swap-router en calldata van de adapter. De router werd naar een slachtoffer-Safe gewezen en de calldata werd ingesteld om execTransactionFromModule aan te roepen. Omdat de FlashLoopAdapter al was ingeschakeld op die Safe, accepteerde de wallet de aanroep als een geautoriseerde moduletransactie.

Deze reeks handelingen veranderde een kleine authenticatiefout in volledige toegang tot het onderpand in de wallet. Het incident onderstreept hoe cruciaal wallet-permissies en uitvoeringspaden zijn, naast de veiligheid van het leenprotocol zelf—een zorg die ook centraal staat bij custody-infrastructuur en authenticatiecontroles.

Flash loan hack loste Aave-schuld af voordat onderpand werd opgenomen

De aanvaller maakte gebruik van een Morpho flash loan in WETH om ongeveer 1.335 WETH aan Aave-schulden van de grootste Safe af te lossen. Deze aflossing maakte het onderpand van de leveraged positie vrij, waardoor circa 1.306 weETH kon worden opgenomen. Een tweede Safe verloor ongeveer 6,4 weETH via dezelfde kwetsbare module.

Beide getroffen Safes bleken eigendom te zijn van dezelfde persoon. Nadat de geleende fondsen waren vereffend en sommige activa waren omgezet, hield de aanvaller ongeveer 114,09 ETH over, wat volgens beveiligingsrapporten een waarde heeft van circa $305.000.

Het onderscheid tussen de bruto beweging en het gerealiseerde verlies is essentieel. De grote opname van onderpand was nodig om de schuld af te lossen en de positie te sluiten; dit moet niet worden gezien als het daadwerkelijk gestolen bedrag. De gerapporteerde netto-opbrengst was de ETH die overbleef na deze transactiestappen.

Aave bevestigt: kerncontracten niet getroffen

Stani Kulechov, oprichter en CEO van Aave, verklaarde dat het kwetsbare onderdeel een externe integratie was en geen contract van Aave V3 zelf. Hij benadrukte dat het incident “geen enkel effect had op Aave V3”.

This is not Aave v3 contract, it’s third party external adapter built on top of Aave, zero effect on Aave v3.

— Stani (@StaniKulechov) October 2, 2026

SlowMist classificeerde het incident als een kwetsbaarheid in een smart contract en schreef de bypass toe aan de spoofbare Safe-controle. Defimon beschreef de FlashLoopAdapter als een Safe-module voor het openen en sluiten van leveraged Aave V3-loops en schatte het verlies op ongeveer $305.000.

De FlashLoopAdapter is een aangepast contract gebouwd op Aave V3 voor het beheren van leveraged posities in Safes die de module hebben ingeschakeld. Safe-modules kunnen wallet-transacties uitvoeren zonder dat de eigenaar elke keer de standaard transactieflow hoeft te doorlopen. Dit ondersteunt automatisering, maar geeft een geautoriseerde module ook een directe route naar de activa in de wallet.

In dit specifieke geval was de toestemming van de module op zich niet de bug, maar wel de authenticatie van de aanroeper en de uitvoeringslogica van de adapter. Het incident is dan ook een DeFi-beveiligingsfout op de integratielaag en geen bewijs dat de leenpools van Aave V3 zelf in gevaar zijn gekomen.

Het bronmateriaal maakt tevens melding van een afzonderlijk incident met een Safe-wallet in september, waarbij ongeveer 2.900 rsETH betrokken was door zwakke autorisatie in een executor. Die zaak betrof echter andere contracten en een ander aanvalspad.