伪造Safe校验攻击Ethereum(ETH)FlashLoopAdapter,114.09枚ETH被转走

这次事故的起点不是借贷池,而是一道权限校验。FlashLoopAdapter是一个定制合约,用于在Aave V3上开仓和平仓 杠杆 循环头寸,它要求每个调用方证明自己背后是一个已将该适配器启用为模块的正规Safe钱包。10月1日(周四),一个恶意合约冒充Safe、返回了校验所期望的值,轻松通过了这道检查,随后两个已启用该模块的钱包共计损失114.09枚ETH,按事发时的 以太坊价格 折合约30.5万美元。链上监测显示,首笔攻击交易发生在10月1日15:08:57(UTC);次日(10月2日,周五),安全公司SlowMist发布了安全警报,将这次绕过归因于适配器open()与close()函数中…