Bug no FlashLoopAdapter permite roubo de ~US$305 mil de duas Safe wallets
Falha em módulo de terceiros contornou checagens e executou saques; é preciso validação mais rígida de quem chama o código do adapter.
O ataque ocorreu na quinta-feira, 1º de outubro. O invasor usou um contrato Safe falso para contornar as verificações open()/close do FlashLoopAdapter e permitiu que o módulo executasse transações em duas Safe wallets habilitadas.
O criminoso tomou um empréstimo relâmpago (flash loan) de WETH na Morpho para pagar cerca de 1.335 WETH de dívida no Aave, liberou garantias e retirou cerca de 1.306 weETH de uma Safe e 6,4 weETH de outra.
Depois de quitar o empréstimo relâmpago e converter os ativos, o atacante reteve aproximadamente 114,1 ETH. As perdas combinadas das vítimas foram estimadas em US$305.000–US$310.000.
As empresas de segurança SlowMist e Defimon Alerts identificaram o endereço do atacante (0x42c2633438609881c8fBAb82414eb9A0c45F9353) e o contrato do módulo vulnerável (FlashLoopAdapter: 0x16bb8b912da187870c23ec6756bb3fad061283d8). As duas Safes afetadas desabilitaram o módulo.
Os contratos principais do Aave v3 não foram comprometidos. O incidente ressalta um risco recorrente: módulos de Safe de terceiros com amplos poderes de execução — e não o protocolo base — podem se tornar a superfície de ataque principal para carteiras multisig.