SlowMist: в модуле Loop Safe Module для Aave v3 выявлен эксплойт — похищено 114,09 ETH

Компания SlowMist, специализирующаяся на аудите смарт-контрактов и onchain-разведке угроз, выпустила предупреждение: эксплойт затронул Aave v3 Loop Safe Module, в результате чего было похищено около 114,09 ETH. В уведомлении SlowMist прямо назван уязвимый компонент — Loop Safe Module. Это надстройка над базовой кредитной инфраструктурой Aave v3, предназначенная для построения "зацикленных" стратегий с плечом в заданных рамках безопасности. SlowMist отдельно подчёркивает, что инцидент касается вспомогательного модуля и не означает подтверждённый взлом основных контрактов протокола Aave. На момент публикации в алерте не раскрыты способ атаки и личность злоумышленника; эти данные остаются неподтверждёнными. Пользователям, задействующим loop-стратегии на Aave v3, рекомендуется с осторожностью относиться к неофициальным инструкциям по "исправлению", распространяемым в соцсетях, до выхода официального постмортема от профильной команды разработчиков. SlowMist также отмечает типичный для DeFi паттерн: целью атаки нередко становятся обёртки и вспомогательные контракты поверх базовых протоколов, а не сама "сердцевина" протокола. Аналогичная логика ранее обсуждалась onchain-аналитиками в контексте предполагаемого инцидента с ResolvLabs USR. Сообщаемый объём потерь составляет примерно 114,09 ETH. Эквивалент в долларах США в уведомлении не приводится; на момент подготовки материала актуальные рыночные данные Ethereum недоступны, поэтому пересчёт в USD не публикуется, чтобы избежать неподкреплённых оценок. Ключевой вопрос для пользователей — разделение рисков между базовыми рынками Aave v3 и надстроечными продуктами. Факт воздействия на основные пулы кредитования Aave v3 не подтверждён. Для держателей залога или долговых позиций напрямую в основных рынках Aave v3 это различие принципиально, поскольку инцидент касается именно loop/плечевых модулей поверх протокола. Пользователям с активными позициями в любых loop-продуктах Aave v3 следует проверить свою экспозицию и ориентироваться на официальные сообщения по линии governance и безопасности Aave. Ряд громких кейсов на рынке — включая эксплойт GMX на Arbitrum на $42 млн и взлом биржи BigONE на $27 млн — показывают, что сбои безопасности часто возникают вне базовой логики протокола: в модулях, обёртках или офчейн-интеграциях, взаимодействующих даже с прошедшими аудит контрактами. В случае BigONE атака на горячий кошелёк также подчеркнула, что периферийные компоненты обладают самостоятельной поверхностью атаки и могут проверяться менее тщательно. С точки зрения безопасности децентрализованных протоколов инцидент вновь высвечивает проблему оценки рисков компонуемости: вспомогательные модули нередко получают "кредит доверия" за счёт репутации и аудитов базового протокола, который они оборачивают. Дополнительные риски несут onchain-инфраструктуры AI-агентов и автоматизированные DeFi-стратегии, программно работающие с loop-модулями: при компрометации модуля в середине исполнения такие системы остаются уязвимыми, если в них не заложена явная логика аварийной остановки (circuit breaker). Дисклеймер: материал носит информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительными рисками. Перед принятием решений проводите собственное исследование.