Aave创始人表示：v3未受30.5万美元第三方攻击影响_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Aave创始人表示：v3未受30.5万美元第三方攻击影响

2026-10-02 23:48:11

Aave创始人回应安全事件：核心v3合约未受影响，第三方适配器漏洞导致约11.4万枚以太坊被盗

Aave创始人Stani Kulechov表示，尽管攻击者利用了两个Safe多重签名钱包使用的第三方适配器，最终盗取了价值约30万美元（约合114.09枚以太坊）的资金，但Aave的核心v3合约并未受到任何影响。

“这不是Aave v3合约的问题，而是构建在Aave之上的第三方外部适配器存在缺陷，对Aave v3零影响。”Kulechov在X平台（原推特）上指出。

区块链安全公司SlowMist将该事件追溯至FlashLoopAdapter模块。该模块旨在通过Safe钱包在Aave v3上开启和关闭杠杆头寸。此次弱点出现在适配器的访问控制逻辑中，而非Aave的借贷合约或Safe底层的多签架构本身。

Aave的状态页面显示其系统运行正常。根据DefiLlama数据，截至10月2日，Aave的总锁仓价值（TVL）约为194亿美元。相对于协议的整体存款而言，约30万美元的损失虽小，但对于受影响的钱包来说仍是实质性的损失。

FlashLoopAdapter攻击是如何运作的？

SlowMist指出，FlashLoopAdapter的open()和close()函数会检查调用合约是否报告适配器已作为Safe模块启用。问题在于，这一响应可以被伪造。

攻击者部署了一个假冒的Safe合约，该合约在授权检查中返回了肯定结果，从而使其能够与适配器进行交互，尽管它并非授权的受害者钱包。此外，适配器的交换功能允许调用者指定路由器和交易数据，这为攻击者控制的执行创造了另一个途径。

随后，攻击者利用这些权限通过合法的Safe执行交易，偿还与杠杆Aave头寸相关的债务，并提取抵押品。安全研究人员报告称，在此过程中约有1,300枚WETH的债务被偿还，从而解锁了weETH及其他抵押品。

这种架构的重要性在于，启用模块可以赋予其绕过多签所有者通常使用的逐笔交易批准流程的执行权。此前，类似案例曾在9月出现，当时一个自定义Safe模块被用于尝试提取770万美元的rsETH，尽管Safe的核心钱包合约并未遭到入侵。

投资者启示

安全边界已经超出了Aave v3和Safe本身。一旦第三方模块获得了强大的钱包权限，即使底层协议保持安全，该模块中的漏洞也可能成为资产被盗的另一条路径。

为何移动了超过1,300 ETH，而损失仅为114 ETH？

约1,300枚WETH的数字代表的是攻击期间偿还的债务，而非攻击者的最终利润。偿还杠杆头寸是释放贷款所持有的抵押品的必要条件。

在债务偿还、抵押品提取及后续资产流动结算后，SlowMest估计攻击者的净收益约为114.09枚以太坊，即当时的价值约30万美元。这一区分在DeFi事故报告中至关重要。单笔交易中，大量资金可能通过闪电贷、抵押品偿还和兑换进行流转，但这并不代表最终被盗的价值。使用总交易量作为损失数字可能会严重夸大经济损失。

在另一份关于与安全Squid模块相关的320万美元Safe漏洞的报道中，也出现了类似的集成层损失与核心协议暴露之间的分离现象。在那起事件中，受影响的集成已被授予钱包权限，但Squid的核心路由基础设施未被确定为漏洞来源。

投资者启示

相关的损失数字应为攻击者的净提取额，而非在去杠杆化过程中移动的所有资产。评估DeFi事故的投资者应区分抵押品流动、债务偿还和闪电贷规模与实际损失的 funds。

此次漏洞说明了什么关于DeFi集成风险？

此事件进一步证明，DeFi的安全性越来越依赖于围绕主要协议的合同，而不仅仅是协议本身。借贷市场、智能钱包、自动化策略管理器、路由器和杠杆模块可以组合成单一的头寸，但每个额外组件都增加了其自身的访问控制和执行逻辑。

Safe一直在通过Safenet开发交易层防御措施。当该网络以beta版本上线并进行链上安全检查时，相关动态曾受到关注。更广泛的挑战在于，在发现漏洞之前，第三方合同可能已经获得了广泛的权限。

对于Aave而言，目前可用的证据并未表明v3核心借贷池存在漏洞。更紧迫的问题是，其他钱包是否启用了相同的FlashLoopAdapter，以及该有漏洞的合同是否仍能针对额外的Safe执行特权交易。

投资者启示

接下来的关键指标包括：其他用户是否暴露于FlashLoopAdapter的风险中，受影响的权限是否已被撤销，以及开发人员是否会发布完整的事故后分析报告或修补后的实施方案。这些发展将决定该事件是仅限于两个钱包，还是揭示了一个更广泛的集成问题。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文