Aave v3 익스플로잇으로 인해 안전 모듈 공격 후 최대 310,000달러 소모

본문

공격자는 Aave v3용 FlashLoopAdapter 모듈을 이용하기 위해 안전 인증을 위조하여 약 305,000~310,000달러에 해당하는 두 개의 다중 서명을 소모했습니다. 공격자는 타사 FlashLoopAdapter 모듈을 악용하기 위해 Safe 인증을 위조하여 Aave와 Safe 자체는 그대로 유지하면서 두 개의 다중 서명을 소모했습니다. 공격자는 2026년 10월 1일 Ethereum에서 두 개의 Safe 다중 서명 지갑을 빼냈습니다. 그들은 Aave v3에서 레버리지 포지션을 실행하기 위해 구축된 타사 모듈을 악용하여 이를 수행했습니다. 공격자는 안전 인증을 위조하고 Aave 부채 중 약 1,300 WETH를 상환하여 지갑 담보를 잠금 해제한 것으로 보고되었습니다. Aave v3이나 Safe의 핵심 인프라는 손상되지 않았습니다.

취약한 구성 요소는 사용자가 Aave v3에서 레버리지 포지션을 구축할 수 있도록 설계된 모듈인 FlashLoopAdapter였습니다. 거기에서 그들은 두 개의 다중 서명에서 자산을 이동하기 위해 모듈의 실행 경로를 조정했습니다. 공격자는 빌린 자금으로 지갑에 보관된 Aave 부채 중 약 1,300~1,335 WETH를 갚았습니다. 사고 후 분석을 통해 모듈의 open() 및 close() 함수에서 결함을 추적했습니다. 모듈은 합법적인 금고에서 온 것인지 제대로 확인하지 않고 전화를 건 사람의 답변을 수락했습니다. 소유자는 전략을 자동화하고 권한을 관리하거나 Aave와 같은 대출 프로토콜에 연결하는 확장 기능을 연결할 수 있습니다. Aave v3 익스플로잇은 Crypto Briefing에서 안전 모듈 공격이 처음 나타난 후 최대 310,000달러까지 소모되었습니다.