- Ribbon Finance, formerly Aevo, verlor 2,7 Millionen US-Dollar bei einem DeFi-Hack, der sein aktualisiertes Oracle-System und oToken-Produkte ausnutzte.
- Der Angreifer manipulierte Preisfeed-Proxys, um große Short-Positionen einzulösen und extrahierte dabei Hunderte von ETH, wstETH, USDC und WBTC.
- Blockchain-Analysen zeigen, dass die gestohlenen Mittel durch mehrere Wallets bewegt wurden, von denen einige bereits in größere Cluster konsolidiert wurden.
Ein ausgeklügelter Angriff auf das in Aevo umbenannte Ribbon Finance leerte 2,7 Millionen US-Dollar aus seinem alten Vertrag und verteilte sie auf fünfzehn separate Wallet-Adressen, von denen einige bereits in größere Konten konsolidiert wurden.
Laut mehreren Blockchain-Ermittlern auf der Social-Media-Plattform X trat der Angriff nur sechs Tage nach dem Upgrade der Oracle-Infrastruktur und der Optionserstellungsverfahren der Plattform auf. Sie nutzten einen Smart-Contract-Prompt, um Hunderte von Ethereum-Token und andere digitale Vermögenswerte zu extrahieren.
Der alte Vertrag von @ribbonfinance wurde für insgesamt 2,7 Millionen US-Dollar geleert.
Exploit-Vertrag: 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE
Diebstahladressen:
0x354ad0816de79E72452C14001F564e5fDf9a355e
0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9… pic.twitter.com/sXKDYoL4RS— Specter (@SpecterAnalyst) Dezember 12, 2025
In einem Thread zur Erläuterung der Ausnutzung sagte der Web3-Sicherheitsanalyst Liyi Zhou, dass ein bösartiger Vertrag den Opyn/Ribbon-Oracle-Stack manipuliert hat, indem er Preis-Feed-Proxies missbraucht und willkürliche Fälligkeitspreise für wstETH, AAVE, LINK und WBTC in den gemeinsamen Oracle zu einem gemeinsamen Fälligkeitszeitstempel eingespeist hat.
„Der Angreifer platzierte große Short-oToken-Positionen gegen Ribbon Financials MarginPool, der diese gefälschten Fälligkeitspreise in seiner Abwicklungs-Pipeline verwendete und Hunderte von WETH und wstETH, Tausende von USDC sowie mehrere WBTC über Redeem- und RedeemTo-Transaktionen an Diebesadressen übertrug“, erklärte Zhou.
Das Oracle-Preis-Upgrade von Ribbon Finance hatte Schwachstellen
Sechs Tage vor dem Angriff aktualisierte das Team von Ribbon Finance den Oracle-Preisrechner, um 18 Dezimalstellen für stETH, PAXG, LINK und AAVEzu unterstützen. Andere Vermögenswerte, einschließlich USDC, befanden sich jedoch weiterhin bei acht Dezimalstellen, und laut Zhou trug die Diskrepanz in der Dezimalgenauigkeit zur Verwundbarkeit bei, die am Freitag ausgenutzt wurde.
Der neueste @ribbonfinance Angriff scheint ein Oracle-Konfigurationsfehler zu sein.
Vor 6 Tagen aktualisierten die Eigentümer den Oracle-Preisrechner, der 18 Dezimalstellen-Preise für stETH, PAXG, LINK und AAVE verwendet. Andere Vermögenswerte wie der USDC-Preis befanden sich jedoch weiterhin bei 8 Dezimalstellen.
Die Erstellung von OToken ist keine… pic.twitter.com/4cpZUNTNun
— Weilin (William) Li (@hklst4r) Dezember 13., 2025
Laut einem pseudonymen Entwickler mit dem Benutzernamen Weilin auf X war die Erstellung von oTokens selbst nicht illegal, da jeder zugrunde liegende Token vor seiner Verwendung als Sicherung oder Strike-Asset auf die Whitelist gesetzt werden muss, ein Verfahren, das der Angreifer genau befolgte.
Die bösartigen Aktivitäten begannen mit der Erstellung schlecht strukturierter Optionsprodukte, wobei ein Produkt aus einer stETH-Call-Option mit einem Strike von 3.800 USDC bestand, gesichert mit WETH, mit einem Ablaufdatum am 12. Dezember. Der Angreifer erstellte dann mehrere oTokens für diese Optionen, die später ausgenutzt wurden, um das Protokoll zu leeren.
Der Angriff umfasste wiederholte Interaktionen mit dem Proxy-Admin-Vertrag unter 0x9D7b…8ae6B76. Einige Funktionen wie transferOwnership und setImplementation wurden verwendet, um die Preis-Feed-Proxies über Delegat-Aufrufe zu manipulieren. Der Hacker rief eine Implementierung für den Oracle auf, um die Asset-Fälligkeitspreise zum gleichen Zeitstempel festzulegen, um ExpiryPriceUpdated-Ereignisse auszulösen, die die betrügerischen Bewertungen bestätigten.
Die manipulierten Preise ließen das System stETH weit über dem Strike-Preis erkennen, und 225 oTokens wurden verbrannt, was 22,468662541163160869 WETH ergab. Insgesamt zog der Hacker etwa 900 ETH auf diese Weise ab.
Die Web3-Sicherheitsfirma Spectre entdeckte die ersten Überweisungen an eine Wallet-Adresse unter 0x354ad…9a355e, aber von dort aus wurde das Geld auf 14 weitere Konten verteilt, von denen viele etwa 100,1 ETH hielten. Ein Teil der gestohlenen Mittel ist bereits in das eingetreten, was Blockchain-Untersucher Zhou als „TC“ oder Treasury-Konsolidierungspools bezeichnet.
DeFi-Lending-Protokollbauer: Opyn dApp wurde nicht kompromittiert
Laut Monarch DeFi-Entwickler Anton Cheng wurde die von Coinbase unterstützte dezentrale Anwendung Opyn nicht kompromittiert, wie in den Gerüchten auf Crypto Twitter behauptet.
Ich habe mir den Ribbon-Hack angesehen, da ich möglicherweise dafür verantwortlich bin. Hier ist, was ich bisher gefunden habe:
1. @opyn_ wurde nicht gehackt; es handelt sich tatsächlich um einen Fork von @ribbonfinance_.
2. Der Hack wurde hauptsächlich durch einen aktualisierten Oracle-Code ausgelöst, der es jedem ermöglichte, Preise für neue Vermögenswerte festzulegen.Dies, wenn… https://t.co/AcF2p495OM pic.twitter.com/BH2rAvNPmP
— Anton Cheng (@antonttc) Dezember 13, 2025
Cheng erklärte, dass der Ribbon-Finance-Hack durch einen aktualisierten Oracle-Code erleichtert wurde, der versehentlich jedem Benutzer ermöglichte, Preise für neu hinzugefügte Vermögenswerte festzulegen. Er wies darauf hin, dass der Angriff mit einer vorbereitenden Transaktion begann, um „die Bühne vorzubereiten“, indem schlecht strukturierte oTokens mit legitimen Sicherheiten und Strike-Assets generiert wurden. Er fuhr fort zu sagen, dass die gefälschten Token es dem Hacker ermöglichten, bekannte Underlyings wie AAVE auszuwählen, um keine Aufmerksamkeit zu erregen und nicht markiert zu werden.
Der Hacker richtete dann drei „Subkonten“ ein, die jeweils minimale Sicherheiten einzahlten, um alle drei Optionen zu prägen. Alle Subkonten waren markierte als Typ 0, was bedeutete, dass sie vollständig gesichert waren, aber das Fehlen eines maximalen Auszahlungslimits für jedes Konto oder oToken half dem Täter, Vermögenswerte ohne Einschränkungen zu leeren.
Nach den Gamma-Systemen von Opyn muss das zugrunde liegende Asset die Sicherung für Call-Optionen und den Strike für Put-Optionen entsprechen, um Verkäufer vollständig zu sichern. Wenn ein Oracle kompromittiert wird, sollen nur Verkäufer für dieses spezifische Produkt leiden.
In diesem Fall reichte jedoch die Kombination aus neuer oToken-Erstellung und dem manipulierten Oracle aus, um diese Schutzmaßnahmen zu umgehen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
