2026年10月1日、Aave v3のLoop Safeモジュール(サードパーティ製)を標的とするセキュリティエクスプロイトにより、約114.09 ETHが流出しました。ブロックチェーンデータにより、移転時点で308,696.27ドル相当とされる114.096151469674448809 ETHの正確な移転が確認されています。このインシデントはEthereumネットワーク上で発生しました。ブロックチェーンセキュリティ企業SlowMistは警告を発行し、脆弱なコンポーネントをFlashLoopAdapter、すなわちAave V3のレンディングインフラを基盤とするカスタムSafeモジュールであると特定しました。Safeモジュールはオプトインの拡張機能であり、有効化されるとマルチシグウォレットに代わってトランザクションを実行する権限を得ます。この設計により、資金のセキュリティは各モジュール自身の認可コードに依存することになります。

SlowMistの報告内容

SlowMistのセキュリティ警告は、この欠陥をFlashLoopAdapterのopen()およびclose()関数の認可ロジックに起因するとし、これらはISafe(msg.sender).isModuleEnabled(address(this))によって呼び出し元を検証していました。正規のSafe設定では、この関数はウォレット自身の有効化済みモジュールのオンチェーン記録を確認します。しかし呼び出し元がインターフェースの偽実装を提供した場合、応答はウォレットの実際の状態ではなく攻撃者の主張を反映します。警告によれば、このチェックはISafeインターフェースを実装するだけで正規のSafeデプロイメントではないコントラクトによって偽装可能であり、攻撃者がウォレットになりすまして不正な資金移動を引き起こすことを許していました。

影響を受けたのはSafeマルチシグウォレット2件です(2026年10月2日公開のThe Crypto Timesの報道)。15:08:47 UTCに記録されたオンチェーントランザクションでは、Aaveから1,306.4823 weETHが引き出され、1,335.2558 WETHがAave: Ethereum WETH Vに返済され、正味のETH収益はEtherscanが「Aave V3 Loop Exploiter 1」とラベル付けするアドレスに送金されました。

報告された損失:約114.09 ETH

SlowMistの警告は総損失を約114.09 ETH(移転時点で約30万8,700ドル)としており、この数値は確認済みのEthereumトランザクションに見える総移転額と一致しています。オンチェーン記録の主な詳細:

オンチェーンデータ

• トランザクション:0x75328f…616fc4
• 移転額:114.096151469674448809 ETH(移転時点で308,696.27ドル)
• 受取先:Etherscanが「Aave V3 Loop Exploiter 1」とラベル付けするアドレス
• 引き出されたweETH:Aaveから1,306.4823 weETH
• 返済されたWETH:Aave: Ethereum WETH V3へ1,335.2558 WETH
• タイムスタンプ:2026年10月1日 15:08:47 UTC

スコープ:警告が特定するもの、まだ確認されていないもの

SlowMistの警告は攻撃対象としてFlashLoopAdapterモジュールを挙げており、Aave V3のコアレンディングプールが侵害されたと主張するものではありません。このエクスプロイトはウォレットレベルのモジュールロジックを標的としたものであり、Aaveの供給・借入コントラクトではありません。本レポートの執筆時点で完全な事後検証は公表されておらず、特定された2件以外に影響を受けたウォレットが存在するかどうかも確認されていません。

Aave創設者のStani Kulechov氏は、警告の直後である2026年10月2日付のXでの公開声明において、影響範囲の明確な境界を示しました。この区別は、Kulechov氏が述べてきたDeFiのより広範な信頼モデル、すなわちDeFiプロトコルを周辺的な統合と対比して評価すべきだという彼の主張にも直接的な示唆を与えるものです。

This is not Aave v3 contract, it's third party external adapter built on top of Aave, zero effect on Aave v3.

— Stani (@StaniKulechov) via X, 2026年10月2日

DeFiレンディング構成においてモジュールレベルのセキュリティが重要な理由

コンポーネントのリスクは、コアプロトコルのリスクとは大きく異なり得ます。SafeマルチシグウォレットはDeFiプロトコルと連携するモジュラー拡張をサポートしており、ユーザーの資金と監査済みコントラクトコードの間にカスタムロジックの層を作り出します。FlashLoopAdapterはこの中間層で動作し、Aave V3を流動性バックエンドとして利用しながら、ループポジションの出入りを独自の認可モデルで管理していました。Aave LabsがAvalanche上のトークン化資産クレジットマーケットを含むプロトコルの表面を拡大するにつれ、同等の審査を受けずにAaveの信頼評判を引き継ぐあらゆる統合にとって、モジュールレベルの監査規律がますます重要になっています。

トランザクションデータに見えるweETHとWETHの担保サイクルは、ループアダプターを用いてリキッドステーキングトークンの利回りを増幅するレバレッジ型リステーキング戦略と整合的です。ループアダプターは担保資産へのレバレッジ露出を構築するための供給・借入・再供給サイクルを自動化しており、これはトランザクション記録に見える引き出しと返済のペアと一致するパターンです。サードパーティアダプターを介して同様の構成を運用しているユーザーは、正規のSafeデプロイメントではなく単にISafeインターフェースを実装したコントラクトによって、自身のモジュール認可パスが偽装され得るかどうかを確認すべきです。

ユーザーとインテグレーターが注視すべき点

カスタムSafeモジュールでAave V3上に構築するインテグレーターにとって、主要な確認点は、認可ロジックがmsg.senderの自己申告に頼るのではなく、信頼されたレジストリに対して呼び出しコンテキストを検証しているかどうかです。SlowMistが特定した偽装可能なisModuleEnabledチェックは、Safeモジュールが呼び出し元自身の申告状態に信頼を委ねるあらゆる場面で顕在化し得る認可パターンを示しています。インシデントの全容が調査される間、プロトコル監視ツールとウォレットレベルの監査レビューが推奨される対応策であり続けます。今後注目すべき観測点は、SlowMistによる完全な事後検証の公表、特定された2件以外のウォレットへの影響の確認、そして「Aave V3 Loop Exploiter 1」とラベル付けされたアドレスに付与された114.09 ETHのオンチェーンでの動きです。