Aave Loop Safe Module verliest 114 ETH aan aanvallers

Beveiligingsonderzoekers van SlowMist hebben een ernstige kwetsbaarheid in de Aave v3 Loop Safe Module ontdekt. Via deze zwakke plek hebben aanvallers ongeveer 114 ETH (ter waarde van ruim €310.000) gestolen uit twee Safe multisig wallets. Het incident toont aan dat beveiligingskwetsbaarheden in gedecentraliseerde financiële protocollen significant risico voor gebruikers kunnen betekenen.

In het kort:

• Aanvallers stelen ~114 ETH uit Aave v3 Loop Safe Module via spoofing van Safe-authenticatie
• FlashLoopAdapter kon worden misleid door een nep-Safe die altijd de juiste authenticatie teruggeeft
• Slachtoffers verloren zowel Aave-onderpand als weETH-tokens

Hoe de aanval werkte

De kwetsbaarheid zit in de FlashLoopAdapter, een component van Aave v3 dat Safe multisig wallets ondersteunt. De adapter checkt alleen of het huidige adres (msg.sender) als module is ingeschakeld op de Safe. Dit check is echter spoofbaar: een aanvaller kan een nep-Safe maken die altijd true retourneert, waardoor de adapter denkt dat de aanvaller geautoriseerd is.

Eenmaal geverifieerd via de vervalste Safe kon de aanvaller de swap-functie van de adapter controleren en deze aanwijzingen geven om betalingen uit te voeren. Door de aanvaller-Safe als router in te stellen en aangepaste calldata te gebruiken, konden de onderpandactiva en weETH-tokens uit de slachtoffers’ wallets worden leeggehaald.

Details van het incident

Twee multisig wallets raakten getroffen: 0xe3b23e47df7cd85876ac6cb05bdb9d7cd5b28520 en 0xcfedf95a3653a128dfc2e4288758a1a1850d169f. De aanvaller (0x42c2633438609881c8fBAb82414eb9A0c45F9353) zette ook ongeveer 1.300 WETH in om schulden op het protocol af te betalen, waarmee de onderpandingstelling kon worden ontgrendeld.

Dit is niet het eerste beveiligingsincident in DeFi. Ook bij andere platforms zijn aanvallers erin geslaagd aanzienlijke bedragen weg te sluizen, wat onderstreept dat voortdurende audits en tests van kritische componenten essentieel zijn.

SlowMist, een beveiligingsbedrijf dat gespecialiseerd is in blockchain-dreigingsanalyse, heeft de volledige technische details van de aanval gepubliceerd. Ethereum handel ongestoord door, met de koers vrijwel stabiel rond $2.726,66.