1 октября 2026 года злоумышленник взломал два мультисиг-кошелька Safe в сети Ethereum. Атака была проведена через сторонний модуль FlashLoopAdapter, предназначенный для управления позициями с кредитным плечом в протоколе Aave v3.
Фирмы SlowMist и ExVul сообщили, что хакер подделал аутентификацию Safe, чтобы обойти систему контроля доступа модуля. Используя фиктивный контракт, атакующий получил возможность управлять функциями open и close для вывода активов из кошельков.
Операция прошла в рамках одной транзакции с использованием флэш-кредита от Morpho. Злоумышленник погасил долг Aave в размере от 1300 до 1335 WETH, что позволило высвободить залоговое обеспечение. Ущерб оценивается в сумму от $305 000 до $310 000.
После возврата флэш-кредита чистая прибыль атакующего составила около 114,09 ETH. Протоколы Aave v3 и Safe не пострадали, так как уязвимость находилась исключительно в стороннем адаптере, который некорректно проверял входящие данные от вызывающих сторон.
Владельцы пострадавших кошельков отключили уязвимый модуль. Эксперты по безопасности отмечают, что сторонние расширения с широкими правами доступа могут обходить требования мультиподписи, поэтому такие инструменты требуют тщательного аудита.
