自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

Aevo-Ribbon漏洞利用预言机升级漏洞,盗取270万美元资产

2025-12-14 01:24:47
收藏

简讯

Aevo因预言机系统升级后遭遇价格操纵事件,损失高达270万美元。攻击者通过伪造期权合约,利用Ribbon的MarginPool漏洞盗取大量ETH与USDC资产。被盗资金被分散转移至15个独立钱包,部分地址与资金归集池存在关联。


漏洞攻击剖析

这是一次针对Aevo(前身为Ribbon Finance)过时智能合约系统的精密攻击。在预言机系统完成升级六天后,攻击者利用新版价格馈送结构和代币小数位格式的变更实施入侵。通过操纵预言机代理合约,攻击者向wstETH、AAVE、LINK等资产注入虚假到期价格,并利用这些伪造数据完成有利于自身的期权合约结算,从而窃取数百枚ETH及大量稳定币。


攻击路径还原

安全分析显示,攻击者通过与预言机代理管理合约的交互获取了未授权的价格更新权限。在创建期权过程中,攻击者使用合规白名单代币构建异常合约结构以规避检测,继而通过Ribbon的MarginPool触发虚假结算。值得注意的是,此次预言机升级在为部分资产启用18位小数定价时未同步更新USDC格式,这种不一致性导致攻击者能够通过共享时间戳向所有代币注入伪造到期价格。


资金流向追踪

攻击者以WETH为抵押物创建基于stETH的oToken,通过强制系统识别虚假估值激活结算机制。智能合约随后将资产释放至攻击者控制的钱包,最终将赃款分散至15个地址。链上分析发现初始资金流向某个特定钱包后又被转入多个次级账户,多个地址均持有约100ETH,部分赃款最终流入资金归集池。据统计,此次被盗资产包括约900枚ETH及巨额USDC。


系统安全评估

Web3开发人员确认,本次攻击虽利用了Ribbon的预言机升级漏洞,但未危及Opyn平台安全。尽管oToken创建流程符合规范,但由于缺乏支付上限机制,导致资产可被无限制提取。分析师强调Opyn核心系统在整个事件中始终保持安全状态。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻