Et tredjeparts tillegg bygget på Aave V3 ble tappet for rundt 114 ETH, verdt omtrent 305 000 dollar, i et angrep som startet 1. oktober 2026. Summen er liten sett mot årets virkelig store krypto-ran, men bruddet rammer noe mer verdifullt enn pengene: tilliten til at integrasjoner rundt de store DeFi-protokollene er like trygge som protokollene selv. SlowMist, som først dokumenterte hendelsen, pekte på en tilgangskontroll i modulen kalt FlashLoopAdapter som lot en angriper late som en gyldig Safe-kontrakt og slik lure systemet til å godkjenne uttak. Aave-grunnlegger Stani Kulechov bekreftet raskt at kjerneprotokollen Aave V3 ikke var berørt, men saken illustrerer et mønster sikkerhetsmiljøet har advart om lenge: det er ikke alltid låsen på hoveddøren som svikter, det er vinduet noen andre installerte.
Hva skjedde: tidslinjen for FlashLoopAdapter-angrepet
Angrepet ble bekreftet på Ethereum i blokk 26 098 264, klokken 15:08:47 UTC den 1. oktober 2026. Transaksjonen gikk gjennom uten å utløse de vanlige varslene, siden den tekniske utførelsen lignet en helt normal operasjon mot en Safe-lommebok. Dagen etter, 2. oktober, publiserte sikkerhetsfirmaet SlowMist en teknisk gjennomgang som identifiserte den sårbare kontrakten på adressen 0x16bb8b912da187870c23ec6756bb3fad061283d8 og beskrev svakheten som en tilgangskontrollfeil, ikke et problem i selve Aave-protokollen.
To Safe-multisignatur-lommebøker ble rammet. Begge hadde gitt FlashLoopAdapter tillatelse som en Safe-modul for å automatisere såkalt “looping”, en strategi der brukere låner og setter inn samme eiendel gjentatte ganger for å øke eksponeringen mot en rente eller et token. Nettopp denne tillatelsen, gitt i god tro for å spare gass og tid, ble inngangsporten angriperen brukte. Cointelegraph omtalte saken samme dag som SlowMists rapport, og flere kryptomedier fulgte raskt opp med egne analyser av transaksjonssporet.
Kulechov presiserte offentlig at den sårbare modulen var et eksternt tillegg bygget på toppen av Aave, ikke en del av Aave V3s kjernekontrakter, og at kjerneprotokollen og dens likviditetspools fungerte som normalt gjennom hele hendelsen. TronWeekly beskrev Aave som en protokoll i størrelsesorden 30 milliarder dollar i forvaltet kapital i sin dekning, men et presist, datert TVL-tall for oktober 2026 er ikke bekreftet i de kildene som foreligger per nå, og bør derfor leses som en grov størrelsesindikasjon snarere enn et eksakt tall.
Slik fungerte sikkerhetsbristen i tilgangskontrollen
Kjernen i feilen lå i hvordan FlashLoopAdapter sjekket om en kontrakt som ringte inn faktisk var en gyldig Safe-lommebok. Funksjonene open() og close() i adapteren stolte på et kall som skulle bekrefte at avsenderen hadde aktivert adapteren som en modul på sin egen Safe. Problemet var at denne sjekken kunne forfalskes: en angriper kunne distribuere en skreddersydd kontrakt som imiterte grensesnittet til en ekte Safe og returnerte svaret adapteren forventet seg, uten at det faktisk fantes noen reell autorisasjon bak.
Når den falske godkjenningen var på plass, kunne angriperen utløse transaksjoner gjennom de ekte Safe-lommebøkene som tidligere hadde gitt adapteren tillatelse. For å frigjøre sikkerhet (collateral) betalte angriperen først tilbake rundt 1 300 WETH i utestående lån, slik at posisjonen ble fri for pant. Deretter trakk angriperen ut verdier og endte opp med netto rundt 114,09 ETH. Dette er et klassisk eksempel på det sikkerhetsbransjen kaller en “access control”-sårbarhet: koden gjør riktig regnestykke, men den stoler på feil avsender.
Forenklet kan logikken som sviktet beskrives slik, i pseudokode som illustrerer selve svakheten:
function open(address safeWallet) external {
// Feil: sjekker kun at svaret ligner et gyldig modul-kall,
// ikke at safeWallet faktisk er en registrert, ekte Safe-kontrakt
require(ISafeLike(safeWallet).isModuleEnabled(address(this)));
_executeLoopStrategy(safeWallet);
}Når grensesnittet ISafeLike kan implementeres av hvem som helst, holder det ikke å spørre kontrakten om den selv mener den er gyldig. Riktig praksis er å bekrefte identiteten mot en kjent registry eller factory-kontrakt, slik Safe selv anbefaler for moduler. Denne typen feil er lett å overse i en revisjon som fokuserer på hovedprotokollen, fordi adapteren formelt sett ligger utenfor det reviderte kodegrunnlaget.
Aave svarer: kjerneprotokollen er ikke rørt
Aave Labs og Kulechov har vært tydelige på at episoden ikke sier noe negativt om sikkerheten i Aave V3s utlånspools. Poenget de gjentar er at skillet mellom protokoll og integrasjon er reelt: tusenvis av tredjepartsverktøy, roboter og grensesnitt bygger på toppen av Aave uten at Aave DAO har kontroll over eller ansvar for koden i dem. Det er samme logikk som gjelder når en nettbank ikke kan garantere sikkerheten i en budsjett-app som kobler seg til kontoen din via et API.
Foreløpig finnes det ingen bekreftet refusjon, erstatning eller bug-bounty-utbetaling knyttet til de rundt 305 000 dollar som ble tatt, verken fra Aave DAO, Aave Labs eller utviklerne bak FlashLoopAdapter. Det betyr ikke nødvendigvis at ingenting skjer bak kulissene, men at ingen slik beslutning er offentlig dokumentert i kildene som er tilgjengelige nå. For de to rammede lommebokeierne er dermed tapet, i hvert fall foreløpig, endelig.
Flere kryptomedier, blant dem crypto.news og Phemex, understreker samme skille i sine overskrifter: Aave V3 upåvirket, tapet begrenset til en ekstern modul. Det er en formulering som både er korrekt og samtidig litt for enkel, fordi den risikerer å dysse ned et strukturelt problem som gjelder hele DeFi-økosystemet, ikke bare denne ene adapteren.
Tredjeparts-adaptere: det nye svake punktet i DeFi
DeFi har de siste par årene beveget seg fra enkle utlåns- og handelsprotokoller til et lag på lag av byggeklosser. En bruker samler ofte sikkerhet i Aave, bruker en adapter for å automatisere en strategi, kobler den til en Safe-lommebok for flerpartskontroll, og lar en robot overvåke posisjonen. Hvert lag legger til funksjonalitet, men også en ny tillit som må holde. Når en bruker aktiverer en modul på sin Safe, gir hun i praksis fra seg deler av den samme kontrollen som multisig-oppsettet var ment å beskytte.
Det er dette mønsteret shattered.io har dekket gjentatte ganger i år, fra brobygging-hacket mot KelpDAO og LayerZero til mindre, men prinsipielt like hendelser der MEV-roboter har grepet inn mot angripere, som i saken der boten “Yoink” kapret 7,8 millioner dollar fra en hacker. Fellesnevneren er at svakhetene sjelden ligger i selve kjerneprotokollen, men i limet mellom systemer. For norske og nordiske investorer, som ofte bruker nettopp slike automatiserte strategier for å få mer avkastning på kapital de har i Aave, Compound eller lignende protokoller, er lærdommen konkret: hver eneste modul du godkjenner på lommeboken din, er en ny dør inn.
Safe selv, selskapet bak den mest brukte multisig-standarden i Ethereum-økosystemet, har gjentatte ganger publisert veiledninger om hvordan moduler bør verifiseres før de aktiveres. Problemet er at svært få vanlige brukere faktisk leser kildekoden til en modul før de klikker “godkjenn” i lommeboken sin. De stoler på navnet, på at protokollen er kjent, og på at andre allerede har brukt verktøyet uten problemer.
DeFi-tap i tall: 2024, 2025 og 2026 så langt
For å forstå hvor denne hendelsen plasserer seg, er det nyttig å se på de store linjene i krypto-kriminalitet de siste årene. Tallene varierer en god del mellom analysehus, fordi de bruker forskjellige definisjoner av hva som telles som et “DeFi-tap” versus bredere “krypto-tyveri”, inkludert børs-hack, lommebok-tyveri og svindel. Under følger de mest konservative, navngitte tallene fra hvert selskap.
| Periode | Beløp | Omfang og kilde |
|---|---|---|
| Helår 2024 | 1,47 mrd. dollar | Hack-tap i hele Web3-økosystemet, ifølge Immunefis “Crypto Losses 2024 Report” (192 hack-hendelser) |
| Helår 2024 | 2,2 mrd. dollar | Bredere estimat for krypto-relaterte hack, ifølge TRM Labs, opp 17 % fra 2023 |
| Helår 2025 | 680 mill. dollar | Tap spesifikt i DeFi-protokoller, ifølge Immunefis “Ecosystem Vulnerability Scoreboard” |
| Helår 2025 | 2,7 mrd. dollar | Bredere krypto-tyveri totalt, mest konservative estimat blant TRM Labs, CertiK og Chainalysis |
| Q3 2026 | Over 1,1 mrd. dollar | Kvartalstap i krypto-prosjekter, ifølge Logos Press |
| Q2 2026 | 819,4 mill. dollar | Forrige kvartal, til sammenligning, samme kilde som over |
Bildet tabellen tegner er en bransje der det samlede tapet har gått noe ned fra 2024 til 2025 målt i de strengeste DeFi-spesifikke tallene, men der 2026 igjen viser en opptur kvartal for kvartal. FlashLoopAdapter-saken sin andel av totalen er mikroskopisk, rundt 305 000 dollar mot over en milliard i et enkelt kvartal, men den sier noe om bredden i angrepsflaten: det er ikke bare de store, koordinerte bro-hackene som truer, det er også de små, presise feilene i verktøy svært få hadde hørt om før 1. oktober.
De største krypto-hackene i 2026 så langt
Satt opp mot de virkelig store hendelsene i år, blir FlashLoopAdapter-tapet tydelig en liten sak i kronebeløp. Men rangeringen under viser også hvor forskjellige angrepsmetodene er, fra sosial manipulering til kompromitterte private nøkler og bro-exploits.
| Rangering | Protokoll/børs | Beløp | Dato | Hovedårsak |
|---|---|---|---|---|
| 1 | Bitget | ~387 mill. dollar | September 2026 | Kompromittert børs-lommebok |
| 2 | Liquid Network | ~320 mill. dollar brutto (35 mill. ikke returnert) | September 2026 | Infrastruktur/nøkkelkompromiss |
| 3 | Kelp DAO | ~292 mill. dollar | 18. april 2026 | Cross-chain bro-exploit via LayerZero |
| 4 | Drift Protocol | 285 mill. dollar | 1. april 2026 | Sosial manipulering og falsk sikkerhet |
| 5 | Tectonic | ~74 mill. dollar | August 2026 | Ikke spesifisert i kilde |
| 6 | FlashLoopAdapter (Aave-tilknyttet) | ~305 000 dollar | 1.–2. oktober 2026 | Tilgangskontrollfeil i tredjeparts-adapter |
Kilder: Logos Press, KuCoin News og Phemex. Legg merke til at tre av de fem største summene i 2026 stammer fra kun to måneder, august og september, noe som tyder på at angripere i økende grad konsentrerer innsatsen sin mot sensommeren og tidlig høst, muligens fordi lavere handelsvolum gjør uvanlige transaksjoner lettere å gjemme.
Konkurrentsammenligning: hvordan andre protokoller har håndtert lignende hendelser
Aave er langt fra det første lånemarkedet som opplever at et tredjeparts-lag svikter mens kjerneprotokollen står igjen uskadd. Tidligere i år ble bro-sikkerhet et sentralt tema etter flere hendelser der selve brokontraktene, ikke de underliggende blokkjedene, var svakheten. Mønsteret går igjen hos konkurrenter som Compound og Morpho, der tredjeparts frontend-er og strategihvelv har vært mål for angrep uten at de respektive kjerneprotokollene har blitt rørt.
Det som skiller Aave-saken noe, er hvor raskt og tydelig Kulechov selv gikk ut med en avklaring. Det står i kontrast til flere eksempler der det har tatt protokoller dager å bekrefte om et angrep var mot kjernen eller periferien, noe som i mellomtiden har skapt unødvendig panikk og kursfall i tilknyttede token. Rask, presis kommunikasjon om hva som faktisk er berørt, later til å bli en konkurransefordel i seg selv for de store DeFi-protokollene, på linje med selve den tekniske sikkerheten.
Samtidig er det en risiko i denne kommunikasjonsstrategien: hvis “det var bare en tredjeparts-adapter” blir en fast frase som gjentas hver gang noe går galt i periferien av en protokoll, kan det på sikt undergrave tilliten til hele det økosystemet av verktøy brukerne faktisk trenger for å dra nytte av DeFi i praksis. Et lånemarked uten noen tredjepartsverktøy ville vært tryggere, men også langt mindre nyttig.
Historisk kontekst: fra The DAO til dagens adapter-angrep
DeFi-sikkerhet har en lang historie med å flytte angrepsflaten i stedet for å eliminere den. The DAO-hacket i 2016, som i sin tid tappet rundt 3,6 millioner ether fra en tidlig investeringsfond-kontrakt, handlet om et gjeninnmeldingsproblem (reentrancy) i selve kontraktslogikken. Senere flyttet angriperne fokus til flash loan-manipulering av priser, deretter til bro-kontrakter mellom kjeder, og nå ser vi et nytt skifte mot integrasjonslaget rundt etablerte, godt reviderte protokoller.
Det gir mening ut fra et angripersperspektiv. Aave V3 har vært gjennom gjentatte, kostbare sikkerhetsrevisjoner og har et stort bug-bounty-program, noe som gjør selve kjernen svært dyr å angripe. En adapter bygget av et mindre team, med mindre budsjett til revisjon og færre øyne på koden, er et langt billigere mål, selv om den flytter penger gjennom akkurat samme smarte kontrakter som den store protokollen bruker. Dette er samme logikk som har gjort orakelmanipulering og flash loan-angrep til tilbakevendende tema i DeFi-sikkerhet: angriperne søker alltid det svakeste laget, ikke det mest kjente.
Hva bør DeFi-brukere gjøre nå
For privatpersoner og norske fond som bruker Safe-lommebøker sammen med strategi-adaptere, er det noen konkrete tiltak som følger direkte av denne hendelsen. Det første er å gå gjennom hvilke moduler som faktisk er aktivert på egne Safe-kontrakter. Mange brukere aktiverer en modul en gang, for en kampanje eller en enkelt strategi, og glemmer den deretter. Hver aktiv modul er en stående tillatelse, ikke en engangshandling.
Det andre er å følge rådene som allerede finnes i en tidligere gjennomgang av hvordan man tilbakekaller DeFi-tillatelser, og gjøre det til en rutine snarere enn en engangsøvelse etter at noe har gått galt. Det tredje er å bruke separate, mindre Safe-lommebøker for eksperimentelle strategier og adaptere, i stedet for å koble dem direkte til hovedlommeboken med det meste av kapitalen. En kompromittert modul på en liten testlommebok er en ubehagelig, men håndterbar hendelse. Samme modul koblet til hele porteføljen er et helt annet nivå av risiko.
Den fjerde anbefalingen gjelder utviklere og protokoller: lær av gjennomgangen i hvordan man leser en smartkontrakt-revisjon riktig, og innse at en revisjon av kjerneprotokollen ikke sier noe om sikkerheten til tredjeparts-adaptere som senere kobler seg på. Protokoller som Aave bør, og i stadig større grad gjør, publisere tydelige lister over hvilke integrasjoner som er offisielt reviderte og hvilke som ikke er det, slik at brukerne i det minste kan ta et informert valg.
Markedsreaksjon og konsekvenser for Aave-økosystemet
Markedsreaksjonen på selve Aave-token (AAVE) var beskjeden i timene etter at nyheten ble kjent, noe som underbygger at markedet raskt skilte mellom kjerneprotokollen og den eksterne adapteren. Det står i sterk kontrast til hvordan markedet reagerte på de store bro-hackene i 2026, der tilknyttede token ofte falt 10 til 20 prosent i løpet av et døgn. Den begrensede reaksjonen her tyder på at både handlere og større investorer begynner å bli mer presise i hvordan de vurderer DeFi-risiko, og ikke lenger automatisk straffer en hel protokoll for feil i et perifert verktøy.
Det betyr likevel ikke at hendelsen er uten konsekvenser. Flere strategi-aggregatorer og “vault”-tjenester som i dag kobler seg til Aave via lignende adaptere, kan nå få strengere krav til sikkerhetsrevisjon før de blir inkludert i anbefalte strategier på ulike DeFi-dashboard. Det skaper på kort sikt mer friksjon for mindre, nyere adapter-prosjekter, men kan på lengre sikt gjøre hele det tilkoblede økosystemet tryggere.
Spådommer: hva skjer videre med DeFi-integrasjoner
- Flere store DeFi-protokoller vil i løpet av 2027 innføre offisielle sertifiseringsmerker for tredjeparts-adaptere, slik at brukere kan se et tydelig skille mellom kjernekode og integrasjonslag direkte i lommeboken.
- Safe og lignende multisig-leverandører vil sannsynligvis stramme inn standardene for hvordan moduler verifiserer avsender, med krav om registry-oppslag i stedet for selvbekreftende grensesnitt.
- Antallet rapporterte adapter- og integrasjonsexploits vil fortsette å øke relativt til antall angrep mot selve kjerneprotokollene, ettersom de store protokollene blir dyrere å angripe direkte.
- Forsikringsprodukter rettet mot DeFi-posisjoner vil i økende grad begynne å prise inn hvilke tredjepartsmoduler en bruker har aktivert, ikke bare hvilken hovedprotokoll kapitalen ligger i.
- Totalsummen av DeFi-spesifikke tap for 2026 vil trolig lande høyere enn i 2025, drevet av de store sommerhendelsene, selv om antallet enkeltsaker med lave beløp som FlashLoopAdapter også vil fortsette å vokse i antall.
Hva betyr dette for norske og nordiske kryptobrukere
Norge og resten av Norden har en forholdsvis høy andel av befolkningen som har eksponering mot kryptovaluta sammenlignet med mange europeiske land, og en del av denne kapitalen går gjennom nettopp DeFi-strategier bygget på protokoller som Aave. For disse brukerne er FlashLoopAdapter-saken en påminnelse om at skatteregler, Finanstilsynets advarsler og generell forbrukervern-lovgivning i liten grad dekker denne typen tredjeparts-risiko. Hvis en adapter svikter, er det i praksis brukeren selv som bærer tapet, uten noen innskuddsgaranti eller tilsvarende sikkerhetsnett som i tradisjonell norsk bankvirksomhet.
Det underbygger også et poeng som går igjen i nordisk fintech-debatt: etterspørselen etter enklere, mer transparente måter å forstå hvilken risiko man egentlig tar på seg når man kobler en lommebok til et nytt verktøy, vokser raskere enn forklaringene de fleste protokoller gir. Inntil den forklaringen blir standard, er den enkleste beskyttelsen fortsatt å begrense hvilke moduler man gir tilgang til, og regelmessig rydde opp i gamle tillatelser.
Ofte stilte spørsmål om FlashLoopAdapter-angrepet
Var Aave V3 selv hacket?
Nei. Aave-grunnlegger Stani Kulechov og flere uavhengige medier bekreftet at kjerneprotokollen og likviditetspoolene i Aave V3 ikke var involvert. Det var et eksternt, tredjeparts-bygget verktøy kalt FlashLoopAdapter som ble utnyttet.
Hvor mye penger ble stjålet i angrepet?
Rundt 114,09 ETH, verdt omtrent 305 000 til 307 000 dollar på tidspunktet for angrepet, ble tatt fra to Safe-multisignatur-lommebøker.
Hvordan fikk angriperen tilgang?
Angriperen utnyttet en tilgangskontrollfeil i adapterens kode, der funksjonene som skulle verifisere en gyldig Safe-lommebok kunne lures av en forfalsket kontrakt som imiterte riktig grensesnitt.
Har noen fått pengene tilbake?
Det finnes ingen bekreftet refusjon, forsikringsutbetaling eller bug-bounty knyttet til denne konkrete hendelsen i kildene som er tilgjengelige per nå.
Hvordan skiller dette seg fra de store krypto-hackene i 2026?
Beløpsmessig er dette en svært liten hendelse sammenlignet med Bitget (~387 millioner dollar), Liquid Network (~320 millioner dollar) og Kelp DAO (~292 millioner dollar) i samme år. Den prinsipielle forskjellen er at dette var en feil i et integrasjonslag rundt en etablert protokoll, ikke i protokollen eller broen selv.
Bør jeg deaktivere alle moduler på min Safe-lommebok nå?
Du bør i det minste gå gjennom listen over aktive moduler og vurdere om du fortsatt bruker dem aktivt. Moduler du ikke lenger bruker eller ikke kjenner opprinnelsen til, bør tilbakekalles.
Påvirker dette prisen på AAVE-token?
Markedsreaksjonen var begrenset i timene etter at nyheten ble kjent, i tråd med at markedet behandlet dette som en adapter-hendelse og ikke en protokollsvikt.
Hvem oppdaget og dokumenterte angrepet først?
Sikkerhetsfirmaet SlowMist publiserte den første tekniske gjennomgangen av hendelsen 2. oktober 2026, dagen etter at angrepstransaksjonen ble bekreftet på Ethereum.