Trace brengt verlies van Aave-depositor op $304.500 in verband met wallet-hijack

Wat er gebeurde

De trace volgt transfers op Ethereum, Arbitrum, Base, BNB Chain en Optimism tussen 2:02 p.m. en 4:53 p.m. ET op 10 november. De waardes zijn berekend op het moment van de transfers.

Aan één depositor worden 148,60 Aave WETH deposit-tokens (aWETH) toegeschreven. Die tokens waren bij overdracht $304.500 waard. De aWETH gingen in vier pulls over een periode van ongeveer drie minuten nadat een spending permit was verleend. De eerste transactie werd vastgelegd om 3:09:23 p.m. ET (20:09:23 UTC). On-chain records tonen een unlimited approval en transfers naar twee wallets.

De trace koppelt de transfers aan het Across-incident op basis van timing en ontvangende wallets. De on-chain data bevestigt niet welke website de depositor bezocht of wanneer een off-chain signature is gezet, dus een site visit blijft onduidelijk.

De herziene schatting voegt een aparte sweep van 26,38 ETH toe, die op dat moment ongeveer $54.000 waard was, aan een eerdere teller van $348.000. Van die sweep bereikte ongeveer 20,95 ETH de aanvaller binnen tien minuten.

Across meldt dat social engineering via zijn domeinregistrar Namecheap de aanvaller rond 1:45 p.m. ET (18:45 UTC) op 10 november controle over het domein gaf. Op 11 november zei Across dat het de controle had teruggepakt en dat zijn systemen normaal werkten. Het protocol beloofde dat alle getroffen gebruikers volledig worden gecompenseerd en kondigde een post-mortem aan. Dat is echter geen bevestiging dat uitkeringen al zijn gedaan.

De trace gaat over wallet-approvals en tokentransfers en stelt niet vast dat Aave-contracten zijn geëxploiteerd. Het $401.900-bedrag is een ondergrens. De analyse besloeg niet alle blockchains en sloot twee gestolen tokens zonder marktprijs uit. Across heeft de schatting niet bevestigd en zei dat het een post-mortem zal publiceren.

Waarom dit telt

Voor beleggers in AAVE en verwante projecten laat dit zien dat op-chain transfers en approvals belangrijk zijn voor verliesanalyses, en dat openbaar gemaakte schattingen kunnen verschillen van wat projecten zelf bevestigen.