Aave 창립자 스타니 쿨레초프는 대출 프로토콜 위에 구축된 제3자 어댑터를 통해 두 개의 Safe 멀티시그 지갑에서 약 30만 5,000달러가 유출된 익스플로잇의 영향을 Aave v3가 받지 않았다고 말했다.
“이는 Aave v3 컨트랙트가 아니라 Aave 위에 구축된 제3자 외부 어댑터이며, Aave v3에는 영향이 전혀 없다”고 쿨레초프는 X에 말했다.
블록체인 보안업체 슬로우미스트는 이번 공격이 Safe 지갑을 통해 레버리지 Aave v3 포지션을 열고 닫는 데 사용되는 모듈을 겨냥했다고 밝혔다. 공격자는 가짜 Safe 컨트랙트가 어댑터의 인증 검사를 통과할 수 있도록 한 접근 제어 결함을 악용했다.
슬로우미스트는 해당 어댑터가 스왑에 사용되는 라우터와 트랜잭션 데이터를 호출자가 제어하도록 허용했다고도 밝혔다. 공격자는 이 기능을 이용해 피해자의 Safe를 통해 트랜잭션을 실행하고 weETH와 담보를 빼냈다.
슬로우미스트에 따르면 공격 중 담보를 잠금 해제하기 위해 약 1,300개의 래핑된 이더(WETH) 부채가 상환됐다. 공격자는 최종적으로 두 개의 Safe 멀티시그에서 약 114.09 이더(ETH)를 탈취했으며, 이는 약 30만 5,000달러에 해당한다.
이 보안업체는 취약한 FlashLoopAdapter 컨트랙트와 공격자의 지갑을 확인했지만 Aave v3 자체의 손실은 보고하지 않았다.