第三方适配器漏洞致Safe多签金库资金外流
安全研究机构SlowMist指出，一个嵌入于Aave v3循环功能中的第三方组件——FlashLoopAdapter，其潜在缺陷成为攻击者窃取两处Safe多签钱包抵押资产的关键入口。该事件凸显了在去中心化金融生态中，对非核心协议组件的信任可能带来不可预见的安全隐患。
跨协议适配层成新型攻击跳板
据CryptoSlate援引报告，该漏洞直接关联到与Aave v3 Loop模块协同运作的FlashLoopAdapter。尽管Safe多签机制本身未受损害，且核心协议逻辑无异常，但作为中介的适配器却因设计缺陷赋予攻击者非法转移抵押品的能力。
此次事件被纳入SlowMist此前发布的关于114.09 ETH被盗的专项警报范畴。值得注意的是，这一案例打破了公众对多签钱包“绝对安全”的普遍认知，表明风险并非源自协议底层，而是存在于协议间交互的接口层。
集成组件安全性决定整体系统韧性
该缺陷揭示了一个被广泛忽视但日益严峻的风险模式：去中心化应用的可靠性不仅取决于自身代码质量，更依赖于其所接入的每一个外部组件。当第三方适配器负责管理多签钱包的杠杆头寸时，它拥有处置抵押资产的权限；一旦该组件存在漏洞，攻击即可绕过主协议直接实施资金转移。
SlowMist此前已在多个生态系统中识别类似趋势。今年初，其首席信息安全官曾预警针对移动端加密钱包密钥的iOS级漏洞，并指出Sui与Aptos平台存在的兼容性问题，这些风险均集中于集成层而非协议内核。
建议所有使用多签架构进行资产托管的组织或个人，必须对与钱包交互的所有适配器和模块执行严格审计，并持续跟踪SlowMist等机构发布的公开安全通告。目前证据显示，本次事件仅影响两个特定钱包，尚未发现大规模扩散迹象。在缺乏实证的前提下，传播更广泛威胁的猜测属于误导性信息。
对于比特币用户而言，此事件强化了基于UTXO模型的自我托管理念：减少对外部合约或共享库的依赖，有助于压缩攻击面。每一次授权给第三方适配器的行为，本质上都是对后者代码正确性、审计状态及逻辑完备性的信任投射；而本案例证明，这种信任可能在协议边界之外独立失效。此外，Coinspect披露的另一随机性漏洞也验证了跨链环境中共享库风险的普适性，其漏洞根源在于通用组件，而非底层区块链本身。
