SlowMist：Aave v3循环安全模块漏洞导致114 ETH被盗

区块链文库报道：

区块链安全公司SlowMist发出警报：Aave v3循环安全模块遭利用

区块链安全公司SlowMist发布警报，报告称Aave v3的Loop Safe Module（循环安全模块）遭到利用，事件中约114.09 ETH被盗。该警报明确指出了受影响的组件名称，并将此次盗窃事件标记为Aave协议用户及监控链上风险的DeFi参与者需要关注的活跃安全事件。

SlowMist警报详解：Aave v3循环安全模块发生了什么？

作为链上威胁情报和智能合约审计机构，SlowMist将“Aave v3 Loop Safe Module”确认为被攻击的组件。Loop Safe Module是建立在Aave v3核心借贷基础设施之上的辅助层，旨在在定义的安全边界内促进循环杠杆头寸的建立。此次事件与Aave核心协议合同遭受入侵有着本质区别。

值得注意的是，该警报并未确认具体的利用方法或识别出攻击者，这些细节在发布时仍处于未验证状态。因此，使用基于循环策略的用户应谨慎对待社交渠道中流传的任何未经证实的补救措施，直至相关开发团队发布正式的事故后分析报告。

此类DeFi模块利用事件在结构上与ResolvLabs USR疑似利用事件具有相似性。链上分析师指出，在这类事件中，构建在基础协议之上的辅助合约或包装合约往往成为攻击面，而非底层协议本身。

约114.09 ETH被盗：对DeFi用户的安全启示

据报道，损失金额约为114.09 ETH。由于SlowMist的警报中未确认美元等值金额，且发布时缺乏最新的以太坊市场数据，为避免提供缺乏依据的数字，此处不作美元换算。

Aave v3的核心借贷池未确认受到影响。这一区分对于用户至关重要：直接持有抵押品或债务头寸于主Aave v3市场的用户，与使用叠加在顶层的循环或杠杆模块的用户，其风险敞口截然不同。任何在Aave v3循环产品中拥有活跃头寸的用户，都应针对官方Aave治理或安全通讯核实自己的风险暴露情况。

类似Arbitrum上的GMX 4200万美元利用事件以及BigONE交易所2700万美元黑客攻击的案例表明，智能合约安全故障通常并非源于核心协议逻辑，而是出现在与经过审计的基础合约交互的模块、包装器或链下集成中。BigONE热钱包利用事件同样证明了外围组件具有独立的攻击面，且可能未受到同等程度的审计审查。

从去中心化协议安全的角度来看，此次事件凸显了组合性风险评估中反复出现的缺口：辅助模块往往继承了其所包裹的已审计协议所隐含的信任。当这些模块在执行过程中遭到破坏时，与循环模块进行程序化交互的链上AI代理基础设施和自动化DeFi策略将面临复合风险，因为自动化的头寸管理在没有显式熔断逻辑的情况下无法自行中断。