SlowMist 报告 FlashLoopAdapter 漏洞导致 Safe 多签钱包资金被盗
区块链安全公司 SlowMist 报告称,第三方组件 FlashLoopAdapter 中存在缺陷,导致攻击者从两个 Safe 多签钱包中抽干了抵押品。受影响的是独立的集成层适配器,而非 Safe 自身多签合约的漏洞,SlowMist 的报告对此进行了明确区分。
要点摘要
- SlowMist 报告了该事件,将利用行为归因于第三方 FlashLoopAdapter 中的缺陷。
- 受漏洞影响的组件是第三方适配器,而非 Safe 的原生多签软件。
- 据报道,两个 Safe 多签钱包通过受损的集成接口被抽干了抵押品。
SlowMist 揭示 FlashLoopAdapter 漏洞背后的资金流失真相
根据 SlowMist 的报告,FlashLoopAdapter 作为与 Safe 多签钱包交互的第三方集成层,其内部缺陷为攻击者提供了一条访问并抽干两个受影响钱包中抵押品的路径。SlowMist 此前一直追踪去中心化金融(DeFi)生态系统中更广泛的 Web3 安全风险模式,并将此次事件具体归咎于适配器层的缺陷。
CryptoSlate 曾报道过一起涉及第三方 Aave 工具的相关利用案例,该案例说明了外部集成如何引入漏洞,从而绕过基础协议本身的安全控制。这进一步印证了第三方集成带来的潜在风险。
通过第三方适配器的攻击路径
Safe 多签钱包需要多个签名者批准交易,这使得核心托管层具有韧性。然而,当用户或协议授予第三方适配器权限时,该适配器可以在权限范围内代表钱包行事。如果适配器的逻辑、访问控制或升级路径存在缺陷,攻击者便可加以利用,而无需破坏 Safe 自身的合约。
在此案例中,SlowMist 的报告指出 FlashLoopAdapter 是入口点。这次抵押品抽干影响了两个与该适配器交互过的钱包,表明该利用行为仅限于使用特定集成的用户范围。SlowMist 的月度 Web3 损失报告一贯显示,第三方集成和基于授权的利用占据了 DeFi 损失的大部分份额。
为何第三方适配器会在多签抵押品周围产生风险
委托权限与钱包托管控制的对比
Safe 多签钱包控制谁可以签署交易。但是,当用户批准第三方合同来管理头寸、提供抵押品或代表执行循环操作时,这种批准实际上是将真正的财务权力委托给了多签签名门槛之外。如果批准的合同存在缺陷,攻击者可以利用它,而无需获取钱包的私钥或所有者签名。
此类风险并非 Safe 钱包所独有。正如其他平台上 MEV 相关利用所展示的那样,已批准的合同权限是 DeFi 中持续存在的攻击面,特别是当批准的合同由独立于基础协议的团队开发和维护时。
使用前审查第三方合同权限
安全研究人员一致建议,用户应审计他们授予外部合同的权限,协议团队在部署适配器式集成之前,应审查升级路径、访问控制和紧急暂停机制。持有升级权限或广泛移动抵押品批准权的适配器代表了集中性风险。
SlowMist 早期关于地址级攻击向量工作的研究展示了攻击者在执行前如何侦察钱包行为。具有可预测权限结构的第三方适配器同样可能成为目标。
报告和后续措施:用户与协议团队应检查的事项
验证是否使用了 FlashLoopAdapter 集成
与 FlashLoopAdapter 或任何部署它的协议交互的用户,应查看受影响项目的官方通讯以获取指导。相关的检查是确认给定的 Safe 钱包是否向 FlashLoopAdapter 合同授予了批准或委托控制权。诸如 Etherscan 之类的区块浏览器允许用户审查任何钱包地址的活动代币批准情况和合同交互记录。
协议团队:权限审查与事件响应
将第三方适配器集成到其产品中的团队应审查委托的合同权限,评估受影响的钱包是否需要采取行动,并与用户进行透明沟通。事件响应时间线、用于撤销的官方合同地址以及补救步骤应由直接涉及的团队提供;用户应在采取任何链上行动之前等待经过验证的官方指导。
对于使用可能集成了类似闪电循环风格适配器的平台东南亚 DeFi 参与者来说,当务之急是监控相关项目的官方渠道,并使用链上批准检查器审计钱包暴露情况。支持 DeFi 访问的区域平台也应监控此次报告事件对下游用户的影响。

交易所
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注