SlowMist hat am 2. Oktober eine Sicherheitswarnung herausgegeben und eine Zugriffskontroll-Schwachstelle in den Funktionen open() und close() von FlashLoopAdapter im Loop Safe Module von Aave v3 markiert. Zwei Safe-Multisigs, die dem Modul beigetreten waren, verloren rund 114,09 ETH, etwa 305.000 $.
Warum es zählt
Der Bug erlaubte es dem Angreifer, open() und close() auf Positionen aufzurufen, die ihm nicht gehörten, und die zugrunde liegende Sicherheit abzuziehen. SlowMist hat die Transaktionen des Angreifers zurückverfolgt und den Vorfall als Zugriffskontroll-Versagen eingestuft, nicht als Flash-Loan- oder Oracle-Exploit.
Der Dollarbetrag ist nach Aave-Maßstäben gering, aber der Ort ist entscheidend. Das Loop Safe Module ermöglicht es Safe-Wallet-Besitzern, gehebelte Aave-v3-Positionen zu automatisieren, ohne jede Transaktion zu signieren. Module laufen mit weitreichenden Berechtigungen auf einem Safe, daher verstärkt jeder Zugriffskontroll-Bug in einem populären Modul die Vertrauensannahmen über Tausende nutzerkonfigurierter Wallets hinweg.
Marktauswirkung
Die Kernkreditmärkte von Aave und das AAVE-Token selbst waren nicht direkt betroffen. Offen bleibt, ob der FlashLoopAdapter-Vertrag vom Aave-Team oder einem Drittanbieter bereitgestellt wurde und wie viele Safe-Wallets ihn vor einem Patch genehmigt hatten.
Häufig gestellte Fragen
-
Was ist die FlashLoopAdapter-Schwachstelle auf Aave v3?
Ein Zugriffskontroll-Bug in den Funktionen open() und close() von FlashLoopAdapter erlaubte es einem Angreifer, diese Funktionen auf Positionen aufzurufen, die ihm nicht gehörten, und die zugrunde liegende Sicherheit aus Safe-Wallets abzuziehen, die dem Loop Safe Module von Aave v3 beigetreten waren.
-
Wie viel wurde beim Aave-v3-FlashLoopAdapter-Exploit gestohlen?
Rund 114,09 ETH, zum Zeitpunkt des Vorfalls am 2. Oktober etwa 305.000 $ wert. Nur zwei Safe-Multisigs waren betroffen, und die Kernkreditmärkte von Aave funktionieren weiterhin.
-
Ist das Aave-v3-Protokoll selbst durch diesen Exploit gefährdet?
Der Bug ist auf den FlashLoopAdapter-Vertrag innerhalb des Loop Safe Module beschränkt, nicht auf die Kernkreditpools von Aave v3. AAVE und das weitere Protokoll waren nicht direkt betroffen.
-
Was ist das Loop Safe Module von Aave v3?
Es ist ein Modul, das Safe-Wallet-Besitzern ermöglicht, gehebelte Aave-v3-Positionen zu automatisieren, ohne jede Transaktion zu signieren. Module laufen mit weitreichenden Berechtigungen auf einem Safe, weshalb ein Zugriffskontroll-Bug in einem Modul überproportionales Risiko birgt.
-
Wer hat den FlashLoopAdapter-Exploit gemeldet?
SlowMist hat am 2. Oktober 2026 eine Sicherheitswarnung herausgegeben und die On-Chain-Transaktionen des Angreifers zurückverfolgt. Wu Blockchain berichtete am selben Tag öffentlich über die Warnung.
CoinDesk
CZ Binance
CryptoSlate
TheBlock
WuBlockchain