SlowMist cảnh báo mô-đun Loop Safe Module của Aave v3 bị khai thác, thất thoát 114,09 ETH

Công ty an ninh blockchain SlowMist phát đi cảnh báo cho biết mô-đun Aave v3 Loop Safe Module đã bị khai thác, khiến khoảng 114,09 ETH bị đánh cắp. SlowMist nêu rõ tên thành phần bị ảnh hưởng và coi đây là sự cố bảo mật đang diễn ra, đáng lưu ý với người dùng Aave và cộng đồng DeFi theo dõi rủi ro on-chain. Theo SlowMist, Loop Safe Module là lớp bổ trợ xây dựng trên hạ tầng cho vay cốt lõi của Aave v3, phục vụ các chiến lược "loop"/tăng đòn bẩy trong một ngưỡng an toàn được thiết kế sẵn. Việc mô-đun này bị xâm phạm được mô tả là khác với kịch bản tấn công trực tiếp vào các hợp đồng cốt lõi của giao thức Aave. Đến thời điểm đăng tải, cảnh báo chưa xác nhận phương thức tấn công cũng như danh tính kẻ thực hiện; các thông tin này vẫn chưa được kiểm chứng. Người dùng đang tham gia các chiến lược dựa trên cơ chế loop trên Aave v3 được khuyến nghị thận trọng với các "hướng dẫn khắc phục" chưa được xác thực lan truyền trên mạng xã hội, cho đến khi đội ngũ phát triển liên quan công bố báo cáo hậu kiểm (postmortem) chính thức. SlowMist cho biết kiểu sự cố này thường xuất phát từ bề mặt tấn công nằm ở các hợp đồng bổ trợ/lớp bao (wrapper) xây trên giao thức nền, tương tự mô hình mà các nhà phân tích on-chain từng gắn cờ trong vụ nghi vấn khai thác ResolvLabs USR. Về thiệt hại, SlowMist ước tính số tiền bị lấy đi vào khoảng 114,09 ETH. Cảnh báo không cung cấp quy đổi sang USD; do dữ liệu thị trường Ethereum tại thời điểm xuất bản không sẵn có, bài viết không đưa con số quy đổi để tránh suy diễn không có cơ sở. Các pool cho vay cốt lõi của Aave v3 chưa được xác nhận là bị ảnh hưởng. Điều này đặc biệt quan trọng với những người đang nắm giữ tài sản thế chấp hoặc vị thế nợ trực tiếp trong các thị trường Aave v3 chính, so với nhóm sử dụng sản phẩm loop/đòn bẩy được xếp chồng phía trên. Người dùng có vị thế đang mở trong bất kỳ sản phẩm loop nào của Aave v3 nên rà soát mức độ phơi nhiễm dựa trên các thông báo chính thức từ kênh quản trị hoặc bộ phận bảo mật của Aave. Thực tế, nhiều sự cố an ninh hợp đồng thông minh không bắt nguồn từ logic cốt lõi của giao thức, mà từ mô-đun, wrapper hoặc các tích hợp off-chain tương tác với hợp đồng nền đã được audit. Những vụ việc như vụ khai thác GMX trị giá 42 triệu USD trên Arbitrum hay vụ tấn công sàn BigONE gây thiệt hại 27 triệu USD thường được viện dẫn để minh họa rủi ro này; riêng sự cố ví nóng của BigONE cũng cho thấy các thành phần ngoại vi có bề mặt tấn công độc lập và có thể không được rà soát ở mức tương đương. Dưới góc độ an ninh giao thức phi tập trung, sự cố lần này tiếp tục nêu bật khoảng trống trong đánh giá rủi ro tính "composability": các mô-đun phụ trợ thường được hưởng "niềm tin ngầm" từ giao thức đã được kiểm toán mà chúng bao bọc. Với hạ tầng tác nhân AI on-chain và các chiến lược DeFi tự động tương tác theo chương trình với mô-đun loop, rủi ro còn gia tăng khi mô-đun bị xâm phạm giữa lúc đang thực thi, bởi cơ chế quản trị vị thế tự động không thể tự dừng nếu không có logic ngắt mạch (circuit breaker) được thiết kế rõ ràng. Tuyên bố miễn trừ trách nhiệm: Nội dung chỉ nhằm cung cấp thông tin, không phải lời khuyên tài chính hay đầu tư. Thị trường tiền mã hóa và tài sản số tiềm ẩn rủi ro đáng kể. Hãy tự nghiên cứu trước khi đưa ra quyết định.