SlowMist emitió una alerta de seguridad el 2 de octubre señalando una vulnerabilidad de control de acceso en las funciones open() y close() de FlashLoopAdapter dentro del Loop Safe Module de Aave v3. Dos multisigs de Safe que se habían adherido al módulo perdieron aproximadamente 114,09 ETH, unos 305.000 $.
Por qué importa
El bug permitió al atacante llamar a open() y close() en posiciones que no le pertenecían, drenando la garantía subyacente. SlowMist rastreó las transacciones del atacante y lo clasificó como un fallo de control de acceso, no como un exploit de préstamo flash ni de oráculo.
La cifra en dólares es pequeña para los estándares de Aave, pero la ubicación importa. El Loop Safe Module existe para permitir a los dueños de wallets de Safe automatizar posiciones apalancadas en Aave v3 sin firmar cada transacción. Los módulos se ejecutan con permisos amplios en un Safe, por lo que cualquier bug de control de acceso en un módulo popular amplifica las suposiciones de confianza entre miles de wallets configurados por usuarios.
Impacto en el mercado
Los mercados centrales de préstamo de Aave y el propio token AAVE no se vieron afectados directamente. Las preguntas abiertas que quedan son si el contrato FlashLoopAdapter fue desplegado por el equipo de Aave o por un tercero, y cuántos wallets de Safe lo habían aprobado antes de cualquier parche.
Preguntas frecuentes
-
¿Qué es la vulnerabilidad de FlashLoopAdapter en Aave v3?
Un bug de control de acceso en las funciones open() y close() de FlashLoopAdapter permitió a un atacante llamar a esas funciones en posiciones que no le pertenecían, drenando la garantía subyacente de wallets de Safe que se habían adherido al Loop Safe Module de Aave v3.
-
¿Cuánto se robó en el exploit de FlashLoopAdapter en Aave v3?
Aproximadamente 114,09 ETH, valorados en unos 305.000 $ en el momento del incidente del 2 de octubre. Solo se vieron afectados dos multisigs de Safe, y los mercados centrales de préstamo de Aave siguen operativos.
-
¿Está en riesgo el propio protocolo Aave v3 por este exploit?
El bug está aislado en el contrato FlashLoopAdapter dentro del Loop Safe Module, no en los pools de préstamo centrales de Aave v3. AAVE y el protocolo en general no se vieron afectados directamente.
-
¿Qué es el Loop Safe Module de Aave v3?
Es un módulo que permite a los dueños de wallets de Safe automatizar posiciones apalancadas en Aave v3 sin firmar cada transacción. Los módulos se ejecutan con permisos amplios en un Safe, por eso un bug de control de acceso en cualquier módulo acarrea un riesgo desproporcionado.
-
¿Quién señaló el exploit de FlashLoopAdapter?
SlowMist emitió una alerta de seguridad el 2 de octubre de 2026, rastreando las transacciones on-chain del atacante. Wu Blockchain informó de la alerta públicamente el mismo día.
CoinDesk
CZ Binance
CryptoSlate
TheBlock
WuBlockchain