免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Aave循环模块：两个Safe多签钱包被盗114.09 ETH，以及你现在可以做的事

2026-10-03 06:49:30

Aave借贷市场未受攻击，但启用特定模块的Safe多签钱包遭遇漏洞利用

此次被攻击的并非Aave的借贷市场，而是两个开启了附加模块的独立钱包。据安全公司SlowMist分析，约114.09 ETH从两个Safe多签钱包中流出，原因是围绕Aave v3的外部辅助合约的访问控制可被绕过。因此，任何运行自有Safe的用户都面临一项明确的任务：检查哪些模块处于激活状态，并关闭所有非必要的模块。

Safe多签是一种作为合约存在于区块链上的钱包，只有在达到预设数量的签名后才会执行操作。模块是允许该钱包在无需完整签名法定人数（quorum）的情况下触发交易的额外合约。本次攻击正是利用了这一捷径。

攻击细节：FlashLoopAdapter、伪造的Safe合约与114.09 ETH

受攻击的组件名为FlashLoopAdapter，位于地址 0x16bb8b912da187870c23ec6756bb3fad061283d8。根据SlowMist于2026年10月2日在其X频道发布的分析（TechFlow Post原文转载），该适配器的open()和close()函数的访问控制可通过重建的Safe合约进行欺骗。该伪造合约对所有权限查询均返回“是”。访问控制是指合约决定调用者是否有权执行操作的检查例程。

此外还存在第二个弱点。internal_swap()函数将路由器和附带传递的调用数据的选择权留给了调用者。路由器是执行交换的合约；调用数据是随同发送的指令。能够自由决定这两者的人可以将交换重定向至任意转账。结合被绕过的权限检查，这足以在受害者的Safe内部触发模块执行。

资产流失情况

据报道，从合约中抽走的资产包括weETH以及存入Aave的抵押品。weETH是一种流动性质押代币：它是已存入以太坊的收据，本身仍可交易并持续积累质押收益。为了释放抵押品，据SlowMist评估，攻击者偿还了约1,300 WETH的债务。WETH是以太坊的可处理代币包装形式。

该操作通过来自Morpho的闪电贷融资，金额为11,537 WETH。按当时的汇率计算，约合3100万美元。闪电贷是一种无需抵押且在同一笔交易中必须偿还的贷款；如果未能偿还，整个交易将被丢弃。在此案例中，贷款按计划偿还。最终，攻击者获利114.09 ETH，根据同一来源，在交易发生时约合307,065美元。

与今年发生的大规模事件相比，这笔金额较小。但从机制上看，其严重性不容忽视：此次攻击无需窃取密钥，也无需所有者签名。它只需要一个已激活的模块。

Safe中的循环模块实际功能：基于质押收益的杠杆

循环（Looping），有时也称为杠杆质押，是一个存款和借款的循环过程。你将流动性质押代币作为抵押品存入，以此借出以太坊，将借出的以太坊换回相同的质押代币并再次存入。每轮操作都会增加产生收入的份额和债务。只要质押收益率高于借款利率，盈余就会增长。如果这种关系逆转，利息将侵蚀收益。

手动多次运行此循环既昂贵又缓慢。因此存在辅助合约，将所有步骤捆绑在一次交易中。为了使此类合约能够为多签钱包执行此操作，它必须注册为模块。便利性的增益是真实的，而其代价现已显现：模块可以在无人签名的情况下行动。

时间线：10月1日交易，10月2日警告

事件发生的顺序解释了为何许多持有者在最初并未注意到该事件。据报道，交易于2026年10月1日UTC时间15:08:47在以太坊区块链区块26098264中得到确认。SlowMist的公开警告随后于2026年10月2日UTC时间02:59发出，间隔约十二小时。同一报告指出，0x42c2633438609881c8fBAb82414eb9A0c45F9353为攻击者地址。

在这种情况下，十二个小时是很长的时间，这并非对分析师的指责。模块调用在区块链上看起来像来自钱包的普通交易。当模块执行所有者从未想要执行的操作时，并没有警报响起。任何人若想知晓自己的Safe是否受影响，必须主动查看模块列表。

为何Aave v3核心及Safe核心未受影响

这一点在新闻报道中容易被简化，而这种简化代价高昂，因为它会在错误的地方引发恐慌。据报道，Aave v3的核心池未受损害，Safe合约本身的核心也未触动。缺陷位于FlashLoopAdapter中，这是一个独立于这两个系统之外的合约。

因此，只有启用了该适配器作为模块的Safe钱包面临攻击风险。任何直接存入以太坊或weETH至Aave而未使用循环模块的人，根据此描述，不属于攻击面。通过从未设置过Safe的交易所持有资产的人也不受影响。

在实践中，这意味着一条清晰的界限。问题不在于你是否使用Aave，而在于你的某个钱包是否允许外部合约以其名义行事。这是你钱包的属性，而非协议的属性。

Safe中的模块权限：模块如何替代你的签名

Safe拥有多种类型的权限，其权力各不相同。代币授权允许合约移动特定数量的特定代币。模块更进一步：它可以以钱包的名义触发交易，而无需经过签名法定人数。相比之下，Guard（守卫）限制了一切允许通过的内容。

在实践中，这意味着单个构建不良的模块可以击败整个多签名设置。你需要三个签名才能进行正常转账，但模块走的是另一条路径。10月1日的案例并非首例；9月份，另一个上下文中的模块缺陷已在无签名的情况下转移了数百万资金。

清理时的有效与无效措施

活动模块可以在Safe界面的设置中检查和移除。移除本身是一笔交易，需要正常的签名数量，因此会产生网络费用和少量时间成本。无法通过这种方式恢复任何东西：流出的资金已经消失，即使之后关闭模块也是如此。关闭它防止的是下一次访问，而非上一次。

对于长期持有大量资金且不运行自动化策略的人来说，使用密钥永不离开专用设备的钱包更为合适。关于设备的功能、处理和恢复方面的差异，请参阅硬件钱包比较。对于没有模块的钱包，就不存在模块缺陷。

weETH、循环与清算：头寸背后的风险

受影响的钱包中没有闲置余额，而是运行的循环头寸。这对于定位案件很重要，因为循环头寸同时涉及两种风险。一种是质押收益率与借款利率之间的利差。另一种是清算风险。

清算意味着当债务与抵押品的比率突破设定阈值时，借贷协议会强制出售存入的抵押品。由于每轮操作都会增加债务，杠杆循环的保证金范围由结构决定，因此非常狭窄。存入代币价格下跌几个百分点就可能导致清算。在此次事件中，外部合约额外获得访问权限构成了第三种风险，而这许多人的清单上根本没有列出。

对于德国的持有者来说，还有一个容易在这些循环中被忽视的税务点。循环内的每次交换都是一个独立的事件，每一轮都会创建新的获取日期。任何人若想利用德国所得税法第23条规定的一年持有期，必须能够无缝地证明这些日期。自动化模块恰恰会以更大的数量创建此类事件，且即便你自己什么都没点击，它也会这样做。

Aave和Safe的声明：直至10月2日晚仍保持沉默

据报道，截至发布时，Aave和Safe均未就该事件发布官方声明。同样，据称也没有确认的补丁、暂停或赔偿计划。关闭模块的建议来自安全社区，而非协议本身。

这听起来并不寻常，且有可以理解的原因。不属于协议也不属于钱包软件的合约中的缺陷，也无法从那里修复。没有人可以代表他人关闭外部合约。但对于你来说，这意味着你不应该等待官方的全面清除信号，因为在这种组合下，它可能永远不会到来。

作为背景，2026年第三季度根据可用评估是亏损最严重的季度。与那些月份的大型个案相比，约30万美元的损失只是注脚。但对于受影响的两个钱包而言，并非如此，只要适配器在任何地方处于活动状态，通过模块权限的攻击途径就仍然开放。

来自德国的循环策略：MiCA下的购买路径与持有期

任何从德国进入此类策略的人都应区分两个决定。首先是购买路径。自2026年初以来，德国的加密货币服务只能由符合欧盟MiCA法规授权的公司提供；主管监管机构是BaFin。这涉及你购买和持有以太坊或质押代币的路径。

第二个决定涉及随后在你的钱包中发生的事情。通过DeFi协议运行的循环涉及你自己保管的合约；没有授权的服务提供商参与其中。没有存款保护、没有投诉机构，也没有能为模块缺陷买单的提供商。两者结合给出了实际的玩法顺序：受监管的购买路径用于持有，以及对后续授予的每一项权限做出极其慎重的决定。

在税务方面，上述观点依然成立。质押收入和交换交易的处理方式不同，自动化循环创建了需要你事后证明的大量事件。如果不随做随记，在怀疑情况下，持有期将无法得到认可。

Aave循环模块：要点总结

局势可控，无需仓促行事。建议按以下顺序采取三个步骤：

检查Safe中的模块列表并移除不必要的模块。打开每个多签钱包的设置，查看注册的模块。任何不积极使用的模块都应移除；移除是一笔具有通常法定人数的正常交易。有关钱包类型在处理、恢复和权利授予方面的差异，请参阅软件钱包比较。
重新计算任何正在运行的循环头寸。将当前的质押收益率与借款利率进行比较，并查看你的缓冲空间距离清算阈值还有多远。任何偏好在不使用杠杆的情况下收集收入的人，可在staking平台概览中找到提供商条款。
将购买路径与DeFi部分分开。仅希望持有的资产保留在符合MiCA授权的提供商处，仅将最坏情况下可承受损失的资金投入循环。哪些机构拥有授权，请参阅受监管加密交易所概览。

事件的核心既不是Aave的弱点，也不是Safe的弱点。它是一个提醒：多签名设置的价值仅等于允许绕过它的合约列表的范围。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文

10.00% 90.00%

利好

利空