Een aanvaller misbruikte een access-controlkwetsbaarheid in de FlashLoopAdapter en haalde circa 114 ETH uit twee Safe-wallets met leveraged Aave V3-posities. De totale schade wordt geschat op ongeveer 305.000 dollar, meldt The Crypto Times op basis van security-alerts.
FlashLoopAdapter-exploit treft twee Safe-wallets
De FlashLoopAdapter is een maatwerkmodule op Ethereum waarmee Safe-wallets leveraged posities op Aave V3 kunnen openen en sluiten. Volgens de melding van Defimon kon een door de aanvaller beheerd contract de toegangscontroles passeren en via de uitvoeringsroute van de module onderpand uit de betrokken Safes verplaatsen.
Bij de eerste Safe werd ongeveer 1.335 WETH aan Aave-schuld afgelost om onderpand vrij te maken. Vervolgens werd circa 1.306,48 weETH opgenomen. De tweede Safe verloor ongeveer 6,4 weETH. Na omzetting van een deel van de opgenomen activa hield de aanvaller naar schatting 114,1 ETH over.
De transactie omvatte ook een WETH-flitslening van Morpho. Zo’n lening kan binnen één transactie worden gebruikt en moet volgens de voorwaarden daarvan worden afgewikkeld; de aanwezigheid ervan wijst op zichzelf niet op een kwetsbaarheid bij Morpho. De melding noemt daarnaast een bruto onderpandbeweging van ongeveer 3,88 miljoen dollar op de Etherscan-transactiepagina. Dat bedrag is niet hetzelfde als het geschatte verlies van 305.000 dollar.
De kwetsbaarheid zat in de maatwerkmodule
De gemelde zwakte zat in de FlashLoopAdapter en de manier waarop die met de Safe-wallets communiceerde. De beschikbare informatie wijst niet op een directe compromittering van de kerncontracten van Aave V3. Dat onderscheid is relevant: een Safe-module kan namens een wallet specifieke handelingen uitvoeren, maar de autorisatie- en uitvoeringslogica van een maatwerkmodule vormt een afzonderlijk aanvalsvlak.
Het incident volgt op een afzonderlijke aanval van 15 september, waarbij circa 2.900 rsETH ter waarde van ongeveer 7,8 miljoen dollar uit een Safe met een leveraged Aave V3-positie werd gehaald. Die aanval gebruikte een andere methode. De overeenkomsten zitten in het gebruik van Safe-wallets, Aave-posities en aangepaste smart-contractmodules, niet in een aangetoonde gedeelde kwetsbaarheid.
Het onderzoek naar de FlashLoopAdapter-exploit was volgens de berichtgeving nog gaande. Op basis van de toen beschikbare informatie was niet duidelijk of ook andere wallets of contracten waren getroffen.
Wat beleggers nu moeten weten
De belangrijkste verliesinschatting is circa 114,09 tot 114,1 ETH, of ongeveer 305.000 dollar. De veel hogere bruto waarde van de collateralbeweging mag niet als het gestolen bedrag worden gelezen. Het verschil weerspiegelt dat een grote hoeveelheid onderpand in de transactie werd verplaatst, terwijl het gerapporteerde verlies op de uiteindelijke buit is gebaseerd.
De betrokken infrastructuur was een custom FlashLoopAdapter die door Safe-wallets werd gebruikt voor leveraged Aave V3-posities. De gemelde kwetsbaarheid betrof dus de integratielaag; een directe hack van Aave V3’s kerncontracten is niet gemeld. Omdat het onderzoek nog liep, stond ook niet vast of meer Safes risico liepen.
Floris Deman volgt de wereld van gedecentraliseerde financiering en crypto-regulatie al jaren op de voet. Hij raakte gefascineerd door blockchain nadat hij de opkomst van vroege DeFi-protocollen van dichtbij meemaakte en sindsdien is zijn interesse alleen maar dieper geworden. Hij schrijft vanuit een kritisch maar nieuwsgierig perspectief, met bijzondere aandacht voor hoe Europese regelgeving zoals MiCA de markt vorm geeft.
Zijn stukken richten zich op de spanning tussen innovatie en toezicht: wat betekent regulering voor gewone gebruikers, en waar liggen de grenzen van gedecentraliseerde systemen echt? Floris probeert complexe materie toegankelijk te maken zonder de nuance te verliezen, en hij heeft weinig geduld voor hype zonder onderbouwing.
Naast crypto houdt hij zich bezig met open-source technologie en digitale privacy. Hij gelooft dat financiële zelfbeschikking een serieus onderwerp verdient, en schrijft voor lezers die verder willen kijken dan de koersgrafieken.
Share:
Related Articles
We use cookies to ensure that we give you the best experience on our website. If you continue to use this site we will assume that you are happy with it.
