SlowMist: експлойт у модулі Aave v3 Loop Safe призвів до викрадення 114,09 ETH

Компанія з блокчейн-безпеки SlowMist оприлюднила попередження про інцидент у модулі Aave v3 Loop Safe Module: за її даними, внаслідок експлуатації вразливості було викрадено близько 114,09 ETH. Повідомлення називає скомпрометований компонент і трактує подію як актуальний ризик для користувачів Aave та учасників DeFi, які відстежують ончейн-загрози. Що відомо про інцидент із Loop Safe Module SlowMist, що спеціалізується на ончейн-розвідці загроз і аудиті смартконтрактів, вказала саме Aave v3 Loop Safe Module як елемент, який було зламано. Цей модуль є допоміжним рівнем над базовою інфраструктурою кредитування Aave v3 та призначений для формування "зациклених" леверидж-позицій у межах визначених обмежень безпеки. Компрометація модуля, застерігає SlowMist, не тотожна зламу основних контрактів протоколу Aave. Метод атаки та особу зловмисника в повідомленні не підтверджено; на момент публікації ці деталі залишалися неперевіреними. Користувачам, які застосовують loop-стратегії в Aave v3, рекомендують обережно ставитися до непідтверджених "кроків з відновлення", що поширюються в соцмережах, і чекати на офіційний постмортем від відповідної команди розробки. За структурою такі інциденти схожі на підозрюваний експлойт ResolvLabs USR, який відзначали ончейн-аналітики: атакою стають допоміжні або "обгорткові" контракти поверх базового протоколу, а не його ядро. Втрати близько 114,09 ETH: що це означає для користувачів DeFi Оцінка збитків у попередженні становить приблизно 114,09 ETH. Еквівалент у доларах США SlowMist не наводила, а дані про поточну ринкову ціну Ethereum на момент публікації були недоступні, тож перерахунок у USD не подається, щоб уникнути непідтверджених цифр. Немає підтвердження, що постраждали основні кредитні пули Aave v3. Це критично для користувачів, які тримають забезпечення або боргові позиції безпосередньо в головних ринках Aave v3, на відміну від тих, хто користується loop/леверидж-модулями поверх них. Користувачам із активними позиціями в будь-яких loop-продуктах Aave v3 радять перевірити власну експозицію за офіційними повідомленнями Aave governance або каналів безпеки. Події на кшталт експлойту GMX на Arbitrum із втратами $42 млн і зламу біржі BigONE на $27 млн демонструють, що збої безпеки смартконтрактів часто виникають поза ядром протоколу — у модулях, "обгортках" або офчейн-інтеграціях, які взаємодіють з уже аудитованими базовими контрактами. Інцидент із гарячим гаманцем BigONE так само показав, що периферійні компоненти мають власну площину атак і можуть не отримувати співставної уваги аудитів. З погляду безпеки децентралізованих протоколів цей випадок підкреслює повторювану прогалину в оцінці ризиків композабельності: допоміжні модулі часто успадковують довіру лише через те, що "обгортають" аудитований протокол. Інфраструктура ончейн AI-агентів і автоматизовані DeFi-стратегії, які програмно працюють із loop-модулями, стикаються з посиленим ризиком, якщо модуль компрометують у процесі виконання, адже автоматичне керування позиціями не зупиняється без чітко заданої логіки "circuit breaker". Дисклеймер: матеріал має інформаційний характер і не є фінансовою чи інвестиційною порадою. Ринки криптовалют і цифрових активів несуть суттєві ризики. Перед ухваленням рішень проводьте власне дослідження.