Agora · Seguranca
Exploit no FlashLoopAdapter drena cerca de US$ 305 mil de Safes ligadas a loops na Aave V3
Em 1º de outubro, falha de controle de acesso em módulo Safe para posições alavancadas na Aave V3 permitiu retirar colateral de duas carteiras; os contratos centrais da Aave não foram apontados como vulneráveis.
Atualizada em 01/10/2026, 17:32
Um módulo customizado da Ethereum usado para gerenciar posições alavancadas na Aave V3 via carteiras Safe foi explorado em 1º de outubro de 2026, com perda estimada em cerca de US$ 305 mil, segundo alerta da Defimon Alerts.
O componente FlashLoopAdapter abre e fecha loops alavancados na Aave V3 para Safes que o habilitam. A falha relatada está no controle de acesso do adaptador: um contrato controlado pelo atacante teria passado nas checagens e usado o caminho de execução do módulo para mover colateral.
Duas Safes foram afetadas. Em uma delas, o fluxo envolveu o pagamento de cerca de 1.335 WETH de dívida na Aave e a retirada de aproximadamente 1.306,48 weETH. A segunda perdeu cerca de 6,4 weETH. Parte dos ativos foi convertida; o atacante teria retido cerca de 114,1 ETH, conforme o alerta.
O valor bruto do movimento de colateral visto no Etherscan (cerca de US$ 3,88 mi em uma das transações) não se confunde com a perda estimada de US$ 305 mil. A operação também usou flash loan de WETH na Morpho.
As informações disponíveis apontam a vulnerabilidade no adaptador customizado e na interação com as Safes, e não nos contratos centrais de empréstimo da Aave V3. O caso lembra, em superfície, um incidente de 15 de setembro com Safe e posição alavancada na Aave, porém com caminho de ataque distinto.