区块链安全公司 SlowMist 发布警报：Aave v3 Loop Safe 模块因访问控制漏洞遭到攻击，两个 Safe 多签钱包共计损失约 114.09 ETH（约合 30.5 万美元）。该攻击于 10 月 1 日由 Defimon Alerts 检测到，目标是 FlashLoopAdapter 合约，Aave v3 核心协议未受影响。

SlowMist TI Alert @aave v3 Loop Safe Module Loss: ~114.09 ETH Root Cause: FlashLoopAdapter's open()/close() access control only checks ISafe(msg.sender).isModuleEnabled(address(this)), which is spoofable via a fake Safe that always returns true. Its _swap() then… — SlowMist (@SlowMist_Team) October 2, 2026

FlashLoopAdapter 是一个 Safe 模块，用于自动化 Aave v3 上杠杆循环仓位的开仓与平仓——这是一种用户反复存入抵押品并借出资金以放大敞口的循环策略。Safe 模块是扩展多签钱包功能的附加合约，可提供自动化仓位管理等定制能力。据 SlowMist 分析，此次攻击的根本原因在于适配器 open() 和 close() 函数的访问控制。这些函数并未独立验证调用者身份，而是仅仅检查 ISafe(msg.sender).isModuleEnabled(address(this)) 是否返回 true。因此，攻击者可以部署一个始终返回 true 的伪造 Safe 合约，使恶意调用者通过验证检查。

随后，攻击者滥用了该模块的 _swap() 函数。该函数会向调用者提供的路由地址发起原始调用，且 calldata 完全由攻击者控制。攻击者将路由地址设置为受害者的 Safe 地址，并将 calldata 设置为 execTransactionFromModule——这是 Safe 的一个允许已启用模块执行交易的函数——从而实际上把适配器自身的权限变成了控制受害者钱包的“遥控器”。由于 FlashLoopAdapter 已作为模块在两个目标 Safe 上启用，因此这些调用均被顺利接受。

攻击链条并不止于转走可用余额。攻击者从 Morpho 获取了一笔 WETH 闪电贷——这是一种必须在同一笔交易内偿还的无抵押贷款——并用借入的资金偿还了较大钱包（地址为 0xcfedf95a3653a128dfc2e4288758a1a1850d169f）约 1,335 WETH 的 Aave 债务。偿还债务后，杠杆仓位的抵押品被解锁，攻击者随即通过 Safe 将约 1,306 weETH（一种流动性再质押代币）提取至其控制的地址。

第二个 Safe（地址为 0xe3b23e47df7cd85876ac6cb05bdb9d7cd5b28520）也通过相同机制损失了额外的 6.4 weETH。Defimon Alerts 指出，两个钱包的所有者为同一人。在偿还闪电贷并将部分提取的抵押品兑换为 WETH 后，攻击者最终持有约 114.1 ETH。攻击者地址被确认为 0x42c2633438609881cfBAb82414eb9A0c45F9353，存在漏洞的合约地址为 0x16bb8b912da187870c23ec6756bb3fad061283d8。

Aave v3 核心未受影响，与此前多起 Safe 模块事件相似

This is not Aave v3 contract, it's third party external adapter built top of Aave, zero effect on Aave v3. — Stani (@StaniKulechov) October 2, 2026

针对此次事件，Aave 创始人兼 CEO Stani Kulechov 在一则帖子中澄清，被攻击的代码并非 Aave v3 本身的一部分，而是构建在协议之上的第三方外部适配器，对核心合约没有任何影响。两份安全警报均未发现 Aave v3 存在任何漏洞，协议运行一切正常。

尽管如此，此次攻击凸显了 Safe 生态系统中反复出现的一种模式。由于模块被授予无需经过标准所有者审批流程即可从钱包执行交易的权限，模块认证逻辑中的单一缺陷就可能使其控制下的所有资产暴露于风险之中——而 Safe 多签钱包作为 DeFi 基础设施的标准组件，常被用于保管协议金库和管理权限，因此每个已启用模块的安全性实际上都成为钱包自身安全边界的一部分。类似的安全弱点曾在 9 月出现过，当时一起涉及约 2,900 rsETH 的 Ethereum Safe 攻击被追溯至与已启用模块相关联的执行者合约中不充分的授权检查。5 月，攻击者通过滥用 SquidRouterModule 从 86 个钱包中盗取约 300 万美元；此前 Gnosis Pay 用户也曾在其 Zodiac 延迟模块被发现漏洞后被敦促提取资金。