偽装されたSafeチェックがEthereum (ETH)のFlashLoopAdapterから114.09 ETHを流出

偽装されたSafeチェックがモジュールを解放

今回の被害は、貸出プールではなく権限チェックの仕組みから始まった。Aave V3上のレバレッジ取引を自動的に回すために作られたカスタムコントラクトであるFlashLoopAdapterは、呼び出し元に対し、正規のSafeウォレットが当該アダプターをモジュールとして有効化していることを証明させる設計だった。だが現地時間10月1日(木)、悪意あるコントラクトがSafeを装って期待される返り値を返し、このチェックを突破した。モジュールを有効化していた2つのウォレットが犠牲となり、合計114.09 イーサリアム (ETH)( incident当時のイーサリアムの価格でおよそ30万5000ドル)が持ち去られた。オンチェーンデータによれば、最初の攻撃トランザクションは10月1日15時08分57秒(UTC)に発生し、セキュリティ企業のSlowMistは翌10月2日(金)にセキュリティ警告を公表し、バイパスの原因をアダプターのopen()関数とclose()関数に存在する、偽装可能な認証の弱点と特定した。同社は本件を貸出市場そのものの侵害ではなくスマートコントラクト脆弱性として分類している。金額自体はエクスプロイト事故としては小さいが、攻撃者の通った経路は見過ごせない。

攻撃手法は狭い狙いだったが、効果的だった。攻撃者側のコントラクトはアダプターのスワップルーターとcalldataも併せて供給し、ルーターを被害者のSafeに向けたうえで、calldataにexecTransactionFromModuleを実行するよう設定した。この関数は、SafeモジュールがSafe自身のウォレットアドレスからトランザクションを実行するための入り口である。FlashLoopAdapterはすでに当該Safeで有効化されていたため、ウォレットはこの呼び出しを正規のモジュールトランザクションとして扱い、所有者の署名なしに担保資産を移動させられた。Aaveの貸出プールにもSafeの標準仕様にも落ち度はなく、欠陥はアダプター側の呼び出し元認証と実行ロジックにあった。Safeのモジュールは自動化を可能にする一方、一度有効化すればウォレットが管理する資産への直接的な経路を握ることを示す事例だ。攻撃者アドレスや資金回収の計画は現時点で公表されていない。

フラッシュローンでの解消、総額と実損失

攻撃者は、単一トランザクション内で借入と返済が完結するフラッシュローンをMorphoからWETH建てで調達し、ポジションの解消に使用した。大きい方のSafeのループポジションに紐づくAave債務の返済には約1,335 WETHが充てられ、返済によって担保が解放され、このウォレットから約1,306 weETHが引き出された。2つ目のSafeからも同一モジュール経由で約6.4 weETHが失われた。ただし引き出し額は総取引フローを示すものであり、攻撃者の利益ではない。借入資金の決済と一部資産の換金を経た後、攻撃者の手元に残ったのは約114.09 イーサリアム (ETH)、評価額でおよそ30万5000ドルである。1,306 weETHをそのまま盗難額と読むと、損失を大きく水増ししてしまう。被害を受けた2つのSafeは同一の単一オーナーだったため、実損失は一人の運用者のポジション管理環境に集中した。Ethereumメインネットのトランザクション記録は、ローンの発行から最終的な換金までの一連の流れを順に示している。

ループポジションは預け入れと借入を繰り返してエクスポージャーを拡大する構造であり、解消には担保を動かす前に債務返済が必須となる。その背景で、Aaveの創業者兼CEOであるStani Kulechov氏は10月2日に公式投稿で本件に言及し、脆弱なコンポーネントはAave上に構築された外部のサードパーティ製アダプターであり、「Aave v3への影響はゼロだ」と述べた。V3のプールは一連の騒動中も稼働を続け、貸出市場内での損失は報告されていない。なお記録上は、9月に約2,900 rsETHが失われた別のSafeウォレット事故も確認されている。こちらは有効化済みモジュールに接続された別の実行コントラクトにおける脆弱な認可が要因で、関与したコントラクトも攻撃経路も異なり、FlashLoopAdapterに遡れるのは10月の事件のみである。

事後検証が線を引いた場所

COINOTAGの読みでは、今回の証拠の連なりは異例なほど完璧だ。SlowMistの事後検証は根本原因をアダプター内部の偽装可能なSafeチェックに特定し、創業者の公式声明は責めの所在をAave V3ではなく統合レイヤーに置く。オンチェーンの各数値もトランザクション記録と突き合わせれば整合する。返済された債務は1,335 WETH、総フローとして動いた担保は約1,306 weETH、純利益として残ったのは114.09 ETHである。今回の欠陥が届くのは、このアダプターを稼働させているSafeだけだ。AaveのプールとSafe標準は、情報源が示す範囲の外にある。同種のレバレッジモジュールを有効化している運用者が自問すべき点は一つに絞られる。そのモジュールは、呼び出し元が誰なのかを検証しているのか、それとも返り値を信頼しているのか。