Hacker steelt $305.000 aan Ethereum via toepassing op Aave

In dit artikel:

Een hacker heeft ongeveer 114,09 ETH buitgemaakt, met een waarde van circa 305.000 dollar, uit twee Safe-multisigwallets. De aanval vond plaats via de FlashLoopAdapter, een externe toepassing waarmee gebruikers posities met hefboom konden openen en sluiten binnen Aave v3.

Volgens Aave-oprichter Stani Kulechov en beveiligingsbedrijf SlowMist zat het lek niet in de smart contracts van Aave v3 zelf, maar in de toegangscontrole van de externe adapter. De aanvaller gebruikte een frauduleus Safe-contract om een beveiligingscontrole te omzeilen en transacties namens de slachtoffers uit te voeren.

Opvallend is dat de hacker eerst ongeveer 1.300 WETH aan schulden afbetaalde. Daardoor kwam onderpand vrij, waaronder Wrapped eETH, dat vervolgens werd gestolen. Aave v3 leed zelf geen verlies. Het incident onderstreept dat DeFi-gebruikers niet alleen risico lopen door het onderliggende protocol, maar ook door externe software die ermee verbonden is.