SlowMist a publié une alerte de sécurité le 2 octobre signalant une vulnérabilité de contrôle d'accès dans les fonctions open() et close() de FlashLoopAdapter, au sein du Loop Safe Module d'Aave v3. Deux multisigs Safe ayant adhéré au module ont perdu environ 114,09 ETH, soit environ $305 000.
Pourquoi c'est important
Le bug a permis à l'attaquant d'appeler open() et close() sur des positions qui ne lui appartenaient pas, vidant la garantie sous-jacente. SlowMist a retracé les transactions de l'attaquant et classé l'incident comme une défaillance de contrôle d'accès, pas comme un exploit de flash loan ou d'oracle.
Le montant en dollars est modeste selon les standards d'Aave, mais la localisation compte. Le Loop Safe Module existe pour permettre aux propriétaires de wallets Safe d'automatiser des positions Aave v3 avec effet de levier sans signer chaque transaction. Les modules fonctionnent avec des permissions étendues sur un Safe, donc tout bug de contrôle d'accès dans un module populaire amplifie les hypothèses de confiance à travers des milliers de wallets configurés par les utilisateurs.
Impact sur le marché
Les marchés de prêt principaux d'Aave et le token AAVE lui-même n'ont pas été directement affectés. Les questions ouvertes restantes portent sur le fait de savoir si le contrat FlashLoopAdapter a été déployé par l'équipe Aave ou par un tiers, et combien de wallets Safe l'avaient approuvé avant tout correctif.
Questions fréquemment posées
-
Quelle est la vulnérabilité FlashLoopAdapter sur Aave v3 ?
Un bug de contrôle d'accès dans les fonctions open() et close() de FlashLoopAdapter a permis à un attaquant d'appeler ces fonctions sur des positions qui ne lui appartenaient pas, vidant la garantie sous-jacente des wallets Safe ayant adhéré au Loop Safe Module d'Aave v3.
-
Combien a été volé dans l'exploit FlashLoopAdapter d'Aave v3 ?
Environ 114,09 ETH, soit environ $305 000 au moment de l'incident du 2 octobre. Seuls deux multisigs Safe ont été affectés, et les marchés de prêt principaux d'Aave restent fonctionnels.
-
Le protocole Aave v3 lui-même est-il menacé par cet exploit ?
Le bug est isolé au contrat FlashLoopAdapter dans le Loop Safe Module, et non aux pools de prêt principaux d'Aave v3. AAVE et le protocole dans son ensemble n'ont pas été directement affectés.
-
Qu'est-ce que le Loop Safe Module d'Aave v3 ?
C'est un module qui permet aux propriétaires de wallets Safe d'automatiser des positions Aave v3 avec effet de levier sans signer chaque transaction. Les modules fonctionnent avec des permissions étendues sur un Safe, ce qui explique pourquoi un bug de contrôle d'accès dans n'importe quel module comporte un risque…
-
Qui a signalé l'exploit FlashLoopAdapter ?
SlowMist a publié une alerte de sécurité le 2 octobre 2026, retraçant les transactions on-chain de l'attaquant. Wu Blockchain a relayé l'alerte publiquement le même jour.
CoinDesk
CZ Binance
CryptoSlate
TheBlock