Un attaquant a dérobé environ 114,09 ETH, soit plus de 300 000 dollars, à deux portefeuilles multisignatures Safe en exploitant une faille de FlashLoopAdapter, un outil tiers utilisé avec des positions de prêt sur Aave v3. Le 2 octobre, la société de sécurité blockchain SlowMist a indiqué que l’attaquant avait contourné les contrôles d’authentification de l’adaptateur, exécuté des appels via les portefeuilles touchés et retiré des garanties. Environ 1 300 WETH de dette ont été remboursés pendant l’attaque pour débloquer les garanties liées aux positions. Ce remboursement ne correspond pas au montant dérobé.
Pourquoi c’est important
SlowMist a situé le point d’entrée dans les fonctions open() et close() de l’adaptateur. Leur vérification, censée confirmer qu’un portefeuille Safe avait activé l’adaptateur comme module, pouvait être trompée par un faux contrat Safe qui renvoyait toujours une réponse positive. L’attaquant a ensuite utilisé la possibilité de fournir un routeur et des calldata de son choix pour rediriger un appel vers un portefeuille Safe victime. Comme l’adaptateur était déjà activé comme module sur ce portefeuille, l’appel pouvait invoquer la fonction execTransactionFromModule de Safe et transférer des garanties, dont des weETH.
Le fondateur d’Aave, Stani Kulechov, a déclaré que la faille concernait un adaptateur externe, et non les smart contracts principaux d’Aave v3, sur lesquels elle n’avait eu « aucun effet ». Cette distinction compte pour un protocole de prêt dont la valeur totale verrouillée dépasse 33 milliards de dollars : une intégration peut exposer ses utilisateurs même si le protocole sous-jacent reste intact.
Impact sur le marché
La perte directe signalée s’élève à environ 114,09 ETH répartis sur deux portefeuilles. Elle ne provient pas des contrats principaux d’Aave v3. Le risque immédiat semble limité aux utilisateurs de l’adaptateur vulnérable. Reste à savoir si d’autres portefeuilles ont activé le même module et détiennent des positions accessibles par cette faille.
Questions fréquemment posées
-
Aave v3 lui-même a-t-il été exploité ?
Non. Selon le fondateur d’Aave, Stani Kulechov, l’incident concernait FlashLoopAdapter, un outil tiers construit sur Aave, et n’a pas touché les smart contracts principaux d’Aave v3.
-
Comment l’attaquant a-t-il contourné l’authentification de FlashLoopAdapter ?
Selon SlowMist, un faux contrat Safe a renvoyé une réponse positive lorsque l’adaptateur a vérifié que le portefeuille appelant l’avait activé comme module.
-
Comment la faille a-t-elle permis de transférer des garanties ?
L’attaquant a fourni un routeur et des calldata qui redirigeaient un appel externe vers un portefeuille Safe victime. FlashLoopAdapter y était déjà activé comme module, ce qui permettait à l’appel d’exécuter une transaction.
-
Le remboursement de 1 300 WETH de dette fait-il partie du montant dérobé ?
Non. SlowMist estime la perte directe à environ 114,09 ETH. Environ 1 300 WETH de dette ont été remboursés pendant l’attaque pour débloquer des garanties.
-
Quels portefeuilles pourraient être exposés à cette faille ?
L’attaque signalée a touché deux portefeuilles multisignatures Safe utilisant l’adaptateur vulnérable. On ignore encore si d’autres portefeuilles ont activé le même module.
CoinDesk
CZ Binance
TheBlock
Crypto News
WuBlockchain