1 Ekim 2026 tarihinde gerçekleşen olayda, üçüncü taraf bir FlashLoopAdapter modülündeki kimlik doğrulama açığı sömürülerek iki Safe cüzdanından yaklaşık 305.000 - 310.000 dolar değerinde varlık çekildi. Güvenlik firmaları Aave v3 ve Safe ana altyapısının zarar görmediğini teyit etti.
Ethereum ağında gerçekleştirilen bir saldırıda, üçüncü taraf bir Aave v3 modülünün hedef alınması sonucunda iki Safe çoklu imza (multisig) cüzdanı boşaltıldı. Güvenlik firması SlowMist tarafından 1 Ekim 2026 tarihinde kamuoyuna duyurulan olayda, toplam kayıp miktarının 305.000 ila 310.000 dolar arasında değiştiği tahmin ediliyor.
Olayın ardından yapılan teknik incelemeler, saldırının Aave v3 protokolünün veya Safe cüzdanlarının çekirdek altyapısındaki bir zaafiyetten kaynaklanmadığını ortaya koydu. Güvenlik açıklarının merkezi, kurbanların kendi cüzdanlarında aktif hale getirdiği üçüncü taraf FlashLoopAdapter modülü oldu.
Saldırı Nasıl Gerçekleşti?
Kaldıraçlı pozisyonları yönetmek amacıyla tasarlanan FlashLoopAdapter, kullanıcıların her adımı manuel olarak tetiklemesine gerek kalmadan hesap üzerinde sınırlı işlem yetkisine sahip bir modül olarak çalışıyor. Saldırgan, bu modülün erişim kontrollerini aşmak amacıyla Safe kimlik doğrulamasını taklit eden sahte bir akıllı sözleşme devreye soktu.
Tek bir işlem (single transaction) zinciri içinde yürütülen operasyon, Morpho protokolünden sağlanan WETH cinsinden bir flaş kredi ile başladı. Elde edilen ödünç fonlar kullanılarak iki cüzdana ait yaklaşık 1.300 ile 1.335 WETH arasındaki Aave borcu kapatıldı. Akıllı sözleşme mantığı gereği, borcun ödenmesi kilitli teminatların serbest bırakılmasını sağladı.
Saldırgan, serbest kalan teminatların büyük kısmını ilk Safe cüzdanından (yaklaşık 1.306.48 WETH değerinde) ve daha küçük bir kısmını ise ikinci cüzdandan çekti. Flaş kredinin geri ödenmesinin ardından saldırganın elinde kalan net kar yaklaşık 114.09 ETH olarak hesaplandı.
Kök Neden ve Güvenlik Firmalarının Tespitleri
Olay sonrası rapor yayınlayan SlowMist ve ExVul gibi güvenlik firmaları, zafiyetin modülün open() ve close() fonksiyonlarında yer aldığını belirtti. Kaldıraçlı pozisyonların açılması ve kapatılmasından sorumlu olan bu rutinlerde, çağrıyı yapan kaynağın doğrulanmasında zafiyet bulunduğu tespit edildi. Modül, gelen yanıtların meşru bir Safe cüzdanından gelip gelmediğini sıkı bir şekilde denetlemeden kabul ediyordu.
Saldırının fark edilmesinin ardından her iki mağdur Safe kullanıcısı da savunmasız durumdaki modülü cüzdanlarından derhal devre dışı bıraktı.
DeFi Ekosistemi İçin Modüler Güvenlik Riski
Yaşanan olay, DeFi kullanıcılarının kullandığı üçüncü taraf entegrasyonların taşıdığı riskleri bir kez daha gözler önüne serdi. Safe cüzdanları, otomasyon sağlayan ve kredi protokolleriyle entegre olan modüler yapısı nedeniyle popülaritesini korurken, geniş yürütme yetkilerine sahip bir eklentideki hata cüzdanın imza mekanizmasını baypas edebiliyor.
Saldırı senaryosunda Aave v3 protokolü tasarlandığı gibi çalışarak borç ödemesi karşılığında teminatı serbest bırakırken, asıl hata çağrıyı yapanın yetkisini sorgulamayan adaptör sözleşmesinde yaşandı. Güvenlik uzmanları, benzer araçları kullanan yatırımcıların cüzdanlarında aktif olan modülleri düzenli olarak denetlemesi ve geliştiricilerin çağrı doğrulama mekanizmalarını sıkılaştırması gerektiğine dikkat çekiyor.
