Explotan FlashLoopAdapter de Aave V3

Un contrato personalizado denominado FlashLoopAdapter, utilizado para gestionar posiciones apalancadas en Aave V3, fue objeto de un exploit en la red Ethereum. El ataque afectó a dos billeteras Safe, resultando en una pérdida neta estimada de 114,09 ETH, equivalentes a unos 305.000 dólares.

El atacante logró suplantar una verificación de autenticación de Safe para luego utilizar un préstamo flash (flash loan) de WETH en Morpho con el fin de pagar la deuda y desbloquear el colateral. Cabe destacar que los aproximadamente 1.306 weETH retirados de una de las billeteras representaron el flujo bruto de la transacción, no las ganancias netas del atacante.

SlowMist: Aave v3 Loop Safe Module Exploited, Approximately 114.09 ETH Stolen

SlowMist issued a security alert stating that Aave v3 Loop Safe Module was exploited through an access-control vulnerability in FlashLoopAdapter’s open() and close() functions. The attacker allegedly… pic.twitter.com/a97iMcGWnI

— Wu Blockchain (@WuBlockchain) October 2, 2026

Defimon Alerts informó que detectó el ataque en Ethereum a las 15:08:57 UTC del jueves 1 de octubre. Por su parte, SlowMist publicó su análisis el viernes 2 de octubre, identificando una debilidad en las funciones de apertura y cierre del adaptador. Un contrato malicioso pudo hacerse pasar por una Safe y devolver dicho valor, superando una verificación diseñada para confirmar que una billetera legítima había habilitado el FlashLoopAdapter.

El contrato controlado por el atacante del hack de AAVE también proporcionó el router de intercambio y la calldata del adaptador. Dirigió el router hacia una Safe de la víctima y configuró la calldata para invocar execTransactionFromModule. Debido a que FlashLoopAdapter ya estaba habilitado en esa Safe, la billetera aceptó la llamada como una transacción de módulo autorizada.

Esta secuencia convirtió un fallo de autenticación puntual en un acceso total al colateral controlado por la billetera. El incidente subraya cómo los permisos de las billeteras y las rutas de ejecución son tan críticos como la seguridad del protocolo de préstamo en sí, una preocupación que también es central en la infraestructura de custodia y los controles de autenticación.

El hack mediante préstamo flash pagó la deuda de Aave antes de retirar el colateral

El atacante empleó un préstamo flash de Morpho denominado en WETH para liquidar aproximadamente 1.335 WETH de deuda en Aave asociada a la Safe de mayor tamaño. El pago liberó el colateral vinculado a su posición apalancada, permitiendo la retirada de unos 1.306 weETH. Una segunda Safe perdió cerca de 6,4 weETH a través del mismo módulo vulnerable.

Ambas Safes afectadas pertenecían a un mismo propietario. Tras liquidar los fondos prestados y convertir algunos activos, el atacante conservó aproximadamente 114,09 ETH, lo que los informes de seguridad valoraron en unos 305.000 dólares.

La distinción entre el movimiento bruto y la pérdida real es fundamental. El gran retiro de colateral fue lo que permitió el pago de la deuda y el cierre de la posición; no debe interpretarse como la cantidad robada. Las ganancias netas reportadas fueron el ETH remanente tras completar dichos pasos transaccionales.

Aave afirma que sus contratos principales no fueron afectados

Stani Kulechov, fundador y CEO de Aave, aclaró que el componente vulnerable era una integración externa y no un contrato de Aave V3, asegurando que tuvo «efecto cero en Aave v3».

This is not Aave v3 contract, it’s third party external adapter built on top of Aave, zero effect on Aave v3.

— Stani (@StaniKulechov) October 2, 2026

SlowMist clasificó el incidente como una vulnerabilidad de contrato inteligente y atribuyó el bypass a la verificación suplantable de Safe. Defimon describió al FlashLoopAdapter como un módulo de Safe para abrir y cerrar bucles apalancados en Aave V3, estimando la pérdida en unos 305.000 dólares.

FlashLoopAdapter es un contrato personalizado construido sobre Aave V3 para gestionar posiciones apalancadas en Safes que lo tengan habilitado. Los módulos de Safe pueden ejecutar transacciones de la billetera sin requerir el flujo estándar de transacción del propietario cada vez, lo que facilita la automatización pero también otorga a un módulo autorizado una vía hacia los activos de la billetera.

En este caso, el permiso del módulo no fue el error reportado en sí; lo fueron la autenticación del llamador y la lógica de ejecución del adaptador. Por tanto, el caso representa un fallo de seguridad DeFi en la capa de integración, y no evidencia de que los pools de préstamos de Aave V3 hayan sido comprometidos.

La fuente principal también menciona un incidente separado en septiembre relacionado con billeteras Safe, que involucró unos 2.900 rsETH y una autorización débil en un ejecutor conectado a un módulo habilitado, aunque ambos sucesos involucraron contratos y rutas de ataque distintos.