事件核心：第三方模块漏洞，非协议层攻击

10月2日，安全机构SlowMist发布报告，指出与Aave v3交互的某个循环策略安全模块遭遇利用，造成约114.09 ETH（折合31万美元）的损失。这一消息迅速引发了社区对Aave v3协议安全性的担忧。

Aave官方的正式回应

针对市场的疑虑，Aave创始人Stani Kulechov迅速做出了澄清。他明确表示，本次安全事件并非针对Aave v3的智能合约攻击。受影响的模块是一个构建在Aave v3协议之上的第三方外部适配器。Kulechov强调，该事件对Aave v3协议本身没有造成任何影响，协议运行正常，用户资金安全。

技术细节剖析：漏洞如何发生

根据此前披露的信息，攻击者利用了该第三方适配器中FlashLoopAdapter合约的open()和close()函数的访问控制漏洞。通过伪造安全多签钱包的认证，攻击者获得了本不应有的模块执行权限。

攻击流程简述

  • 第一步：伪造认证 - 攻击者成功伪造了两个Safe多签地址的授权。
  • 第二步：执行恶意操作 - 利用漏洞，攻击者从这两个地址窃取了约114.09 ETH。
  • 第三步：解锁抵押品 - 随后，攻击者使用部分赃款偿还了约1300 WETH的债务，从而解锁并转移了相应抵押资产，完成了整个攻击链条。

关键启示：协议安全与生态安全的分野

此次事件为DeFi生态参与者上了重要一课：必须严格区分底层协议的安全性与上层应用或集成组件的安全性。Aave v3作为经过多次审计、久经考验的基础借贷协议，其合约本身在此次事件中表现稳健。风险来源于生态中一个未经充分验证的外部“插件”。

这提醒开发者和用户，在使用任何构建在主流协议之上的策略、聚合器或管理工具时，都应对其代码安全性和许可权限进行独立评估，不能因其依托于某个安全协议而想当然地认为其同样安全。