Aave v3 Üzerindeki FlashLoopAdapter Açığı Nedeniyle 305 Bin Dolar Kaybedildi

Ethereum ağında gerçekleştirilen bir sızma girişiminde, FlashLoopAdapter adı verilen özel bir sözleşmedeki güvenlik açığı nedeniyle iki Safe cüzdanı toplamda yaklaşık 305.000 dolar kaybetti. Güvenlik firması SlowMist ve Defimon Alerts tarafından yapılan açıklamalara göre saldırgan, modülün erişim kontrollerini atlatarak cüzdanlardaki varlıkları hedef aldı.

Saldırgan, bir Morpho flash kredi kullanarak yaklaşık 1.335 WETH tutarındaki Aave borcunu kapattı ve bu sayede kilitli olan weETH teminatlarının serbest kalmasını sağladı. Güvenlik açıklarının temel nedeninin, FlashLoopAdapter sözleşmesinin çağrı yapan adresi doğru şekilde doğrulayamaması ve sahte bir Safe sözleşmesinin bu kontrolleri kolayca geçebilmesi olduğu belirtildi.

Yaşanan bu olay sonrasında Aave kurucusu Stani Kulechov, güvenlik açığının ana Aave v3 protokolünden kaynaklanmadığını, sorunun Aave üzerine inşa edilmiş üçüncü taraf harici bir adaptörden kaynaklandığını ve Aave v3 üzerinde sıfır etkisi olduğunu vurguladı. Saldırgan, işlemlerin ardından flash krediyi ödeyerek net olarak yaklaşık 114 ETH tutarında varlığı elinde tuttu.