La explotación de una vulnerabilidad en FlashLoopAdapter afectó a dos billeteras Safe en Ethereum por un total de aproximadamente $305,000. El atacante utilizó un préstamo flash para saldar una deuda en Aave, que ascendía a aproximadamente 1,335 WETH, antes de retirar alrededor de 1,306 weETH como garantía. El atacante también obligó a la segunda billetera, que tenía una pérdida de 6.4 weETH, a aprovechar la misma vulnerabilidad. El ataque ocurrió el 1 de octubre de 2023 a las 15:08:57 UTC. El fundador de Aave, Stani Kulechov, señaló que el contrato afectado era un adaptador externo construido sobre Aave y no tuvo ningún impacto en Aave v3. Según información de la empresa de seguridad blockchain SlowMist, la vulnerabilidad se debía a deficiencias de autenticación en el contrato FlashLoopAdapter, lo que permitió a una billetera falsa (Safe) pasar la verificación de acceso a los fondos.
FlashLoopAdapter está diseñado para abrir y cerrar posiciones de préstamo a través de Aave v3, permitiendo gestionar estrategias de préstamo y garantía. El problema surgió porque las funciones open() y close() no verificaban si el contrato que llamaba era realmente una billetera Safe legítima, lo que permitió al atacante utilizar un contrato falso para acceder a funcionalidades destinadas únicamente a billeteras autorizadas.
El atacante, además de la ya mencionada suma de 1,335 WETH para saldar la deuda, posteriormente obtuvo alrededor de 114.1 ETH, lo que equivale a aproximadamente $305,000 en el momento de informar sobre el incidente. SlowMist estima las pérdidas totales en $305,000. Este caso repite vulnerabilidades previamente registradas relacionadas con permisos en billeteras Safe. En septiembre, ocurrió otro incidente relacionado con una autorización imperfecta en un módulo similar, lo que también indicaba la necesidad de aumentar las medidas de seguridad para los adaptadores que interactúan con billeteras Safe.
Artículos relacionados
