A SlowMist emitiu um alerta de segurança a 2 de outubro a sinalizar uma vulnerabilidade de controlo de acesso nas funções open() e close() do FlashLoopAdapter, dentro do Loop Safe Module do Aave v3. Dois multisigs Safe que tinham aderido ao módulo perderam cerca de 114,09 ETH, aproximadamente $305.000.
Porque importa
A falha permitiu que o atacante invocasse open() e close() em posições que não lhe pertenciam, drenando a garantia subjacente. A SlowMist rastreou as transações do atacante e classificou o caso como uma falha de controlo de acesso, não como uma exploração de flash loan ou de oráculo.
O valor em dólares é pequeno para os padrões da Aave, mas a localização importa. O Loop Safe Module existe para permitir aos donos de carteiras Safe automatizar posições alavancadas no Aave v3 sem terem de assinar todas as transações. Os módulos correm com permissões alargadas num Safe, pelo que qualquer falha de controlo de acesso num módulo popular amplifica os pressupostos de confiança em milhares de carteiras configuradas pelos utilizadores.
Impacto no mercado
Os mercados centrais de empréstimo da Aave e o próprio token AAVE não foram diretamente afetados. As questões em aberto são se o contrato FlashLoopAdapter foi implementado pela equipa da Aave ou por terceiros, e quantas carteiras Safe o tinham aprovado antes de qualquer correção.
Perguntas frequentes
-
Qual é a vulnerabilidade do FlashLoopAdapter no Aave v3?
Uma falha de controlo de acesso nas funções open() e close() do FlashLoopAdapter permitiu a um atacante invocá-las em posições que não lhe pertenciam, drenando a garantia subjacente de carteiras Safe que tinham aderido ao Loop Safe Module do Aave v3.
-
Quanto foi roubado na exploração do FlashLoopAdapter no Aave v3?
Cerca de 114,09 ETH, o equivalente a aproximadamente $305.000 na altura do incidente de 2 de outubro. Apenas dois multisigs Safe foram afetados, e os mercados centrais de empréstimo da Aave continuam funcionais.
-
O próprio protocolo Aave v3 está em risco por causa desta exploração?
A falha está isolada no contrato FlashLoopAdapter dentro do Loop Safe Module, e não nos pools centrais de empréstimo do Aave v3. O AAVE e o protocolo no seu todo não foram diretamente afetados.
-
O que é o Loop Safe Module do Aave v3?
É um módulo que permite aos donos de carteiras Safe automatizar posições alavancadas no Aave v3 sem assinarem todas as transações. Os módulos correm com permissões alargadas num Safe, razão pela qual qualquer falha de controlo de acesso num módulo acarreta um risco desproporcionado.
-
Quem sinalizou a exploração do FlashLoopAdapter?
A SlowMist emitiu um alerta de segurança a 2 de outubro de 2026, rastreando as transações on-chain do atacante. A Wu Blockchain noticiou o alerta publicamente no mesmo dia.
CoinDesk
CZ Binance
CryptoSlate
TheBlock
CoinTelegraph