FlashLoopAdapter 漏洞导致以太坊安全钱包损失 30.5 万美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

FlashLoopAdapter 漏洞导致以太坊安全钱包损失 30.5 万美元

2026-10-02 17:13:20

核心要点

专为管理 Aave V3 杠杆头寸而设计的 FlashLoopAdapter 模块于 10 月 1 日遭遇安全漏洞。该漏洞源于自定义模块中的访问控制缺陷，而非 Aave 的主借贷基础设施问题。

两个 Safe 钱包成为攻击目标，其中一个损失超过 1,300 weETH。利用者在攻击执行过程中借用了来自 Morpho 的 WETH 闪电贷。总损失在 305,000 美元至 310,000 美元之间，攻击者获利约 114 ETH。

事件概述

10 月 1 日，一个基于以太坊、旨在管理 Aave V3 杠杆头寸的自定义模块遭受安全漏洞攻击，导致约 305,000 美元的资产被盗。受影响的模块名为 FlashLoopAdapter（@aavev3 loop Safe module），网络为以太坊，漏洞类型为访问控制漏洞。

FlashLoopAdapter 是一个 Safe 模块，用于为启用它的 Safe 钱包打开或关闭 Aave v3 杠杆循环。其 open()/close() 函数信任任何能回答…的消息发送者。

来源：Defimon Alerts (@DefimonAlerts) - 2026年10月1日

攻击方法解析

该受损模块 FlashLoopAdapter 作为工具，用于在激活了该模块的 Safe 钱包中打开和关闭 Aave 杠杆头寸。网络安全公司 Defimon Alerts 通过 X 平台分享了有关此次泄露的信息。根据其分析，攻击者控制的恶意合约成功绕过了模块的访问验证协议。

在绕过安全检查后，肇事者利用模块的执行路径未经授权访问了两个 Safe 钱包。这使得他们能够从受损钱包中提取抵押品资产。

新增：SlowMist 指出，一个用于 Aave v3 循环的 Safe 模块被利用，损失约 114.09 ETH（310,000 美元）。

来源：The Block (@TheBlockCo) - 2026年10月2日

据报道，攻击者伪造了 Safe 身份验证，并偿还了约 1,300 WETH 的债务以解锁抵押品，随后从两个多重签名钱包中榨取资产。

初始突破涉及结算约 1,335 WETH 的 Aave 债务义务。随后，攻击者从第一个 Safe 钱包中提取了约 1,306.48 weETH。在同一安全事件中，另一个 Safe 钱包损失了约 6.4 weETH。

提取完成后，肇事者清算了部分被盗资产。根据 Defimon 的分析，他们保留了约 114.1 ETH。Etherscan 上与主要 Safe 钱包相关的区块链记录显示，大约 1,306.48 variableDebtEthWETH 代币已被销毁。数据还确认了相应的 weETH 提款。

Etherscan 的记录显示总交易价值约为 388 万美元。然而，这个数字代表的是转移的抵押品总额，而非净财务损失。Defimon 计算的 305,000 美元损失考虑了攻击者最初的资产持有量，反映了实际的财务损害。

使用的闪电贷机制

利用序列包含了一个闪电贷组件。攻击者在攻击策略中将获取 Morpho 的 WETH 作为必要环节。

闪电贷允许合约在一个事务周期内获得临时资金。借款人必须在事务完成前归还本金及适用费用。Aave 将闪电贷视为其 V3 借贷基础设施的核心功能之一。使用闪电贷机制本身并不表明借贷提供商存在漏洞。

识别出的安全缺口存在于自定义 FlashLoopAdapter 合约本身，而非 Aave 的基础借贷架构。Aave 的技术文档将借款、还款、提款和闪电贷确定为 V3 的核心功能。

近期类似案例回顾

这并非 2024 年孤立的事件。9 月 15 日，另一个包含 Aave V3 杠杆头寸的 Safe 钱包遭到入侵，损失了价值约 780 万美元的约 2,900 rsETH。

在那次攻击中，肇事者利用 Uniswap V4 钩子将头寸转换为可转移的 rsETH。然而，一个名为 Yoink 的 MEV 机器人通过抢跑拦截了攻击者的交易并夺取了资产。rsETH 的管理机构 Kelp DAO 在该漏洞发生后暂停了接收地址。团队确认其核心智能合约和 rsETH 抵押支持未受影响。

网络安全公司 SlowMist 独立验证了 10 月 1 日的漏洞，计算损失约为 310,000 美元和 114.09 ETH。SlowMist 的分析表明，攻击者部署了一个伪造的 Safe 钱包以规避身份验证机制，然后利用任意事务数据访问资金。

后续进展

目前仍在对 FlashLoopAdapter 进行安全分析。当局尚未确认是否有其他钱包或智能合约受到侵害。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文