SlowMist জানিয়েছে যে Aave v3-এ পজিশন লুপিংয়ের জন্য ব্যবহৃত Loop Safe মডিউলটি হ্যাক করা হয়েছে, অর্থাৎ পজিশন বাড়ানোর জন্য গ্যারান্টি দিয়ে বারবার ঋণ নেওয়া হয়েছে। হ্যাকার দুটি মাল্টিসিগনেচার ওয়ালেট থেকে প্রায় 114 ETH তুলে নিয়েছে।
দুর্বলতাটি ছিল FlashLoopAdapter কন্ট্রাক্টে। এক্সেস চেক কেবলমাত্র কল করা ওয়ালেটকে জিজ্ঞাসা করত যে মডিউলটি সক্রিয় আছে কিনা, এবং হ্যাকার একটি ভুয়ো Safe ঢুকিয়ে দিয়েছিল যা সবসময় "হ্যাঁ" বলে উত্তর দিত। এরপর কন্ট্রাক্ট হ্যাকারের প্যারামিটার দিয়ে ইচ্ছামতো কল করত। যেহেতু এই অ্যাডাপ্টারটি ভুক্তভোগীদের ওয়ালেটে একটি মডিউল হিসেবে সংযুক্ত ছিল, হ্যাকার তাদের পক্ষ থেকে weETH এবং Aave-এর গ্যারান্টি তুলে নিয়েছিল, আগে প্রায় 1300 WETH ঋণ পরিশোধ করে গ্যারান্টি আনলক করেছিল।
Aave প্রোটোকলটি বর্ণনা অনুযায়ী ক্ষতিগ্রস্ত হয়নি, সমস্যাটি একটি বহিরাগত মডিউলে।