- Ribbon Finance, anciennement Aevo, a perdu 2,7 millions de dollars dans un piratage DeFi exploitant son système d'oracle mis à jour et ses produits oToken.
- L'attaquant a manipulé les proxys de flux de prix pour racheter de grandes positions courtes, extrayant des centaines d'ETH, wstETH, USDC et WBTC.
- L'analyse blockchain montre que les fonds volés ont été transférés via plusieurs portefeuilles, certains déjà consolidés en plus grands clusters.
Une attaque sophistiquée contre Aevo-rebrand Ribbon Finance a vidé 2,7 millions de dollars de son ancien contrat et les a transférés vers quinze adresses de portefeuille distinctes, dont certaines ont déjà été consolidées en comptes plus importants.
Selon plusieurs enquêteurs de la blockchain sur la plateforme sociale X, l'attaque s'est produite seulement six jours après que la plateforme a mis à niveau son infrastructure d'oracle et ses procédures de création d'options. Ils ont utilisé un prompt de contrat intelligent pour extraire des centaines de jetons Ethereum et d'autres actifs numériques.
L'ancien contrat de @ribbonfinance a été vidé pour un total de 2,7 M$.
Contrat d'exploitation : 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE
Adresses de vol :
0x354ad0816de79E72452C14001F564e5fDf9a355e
0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9… pic.twitter.com/sXKDYoL4RS— Specter (@SpecterAnalyst) décembre 12, 2025
Dans un fil expliquant l'exploitation, l'analyste de sécurité Web3 Liyi Zhou a déclaré qu'un contrat malveillant a manipulé la pile d'oracles Opyn/Ribbon en abusant des proxys de flux de prix, et a poussé des prix d'expiration arbitraires pour wstETH, AAVE, LINK et WBTC dans l'oracle partagé à un horodatage d'expiration commun.
« L'attaquant a placé de grandes positions courtes sur les oTokens contre le MarginPool de Ribbon Finance, qui a utilisé ces prix d'expiration falsifiés dans son pipeline de règlement et a transféré des centaines de WETH et wstETH, des milliers d'USDC et plusieurs WBTC vers des adresses de vol via des transactions de rachat et de rachat vers », a expliqué Zhou.
La mise à niveau du prix de l'oracle de Ribbon Finance présentait des faiblesses
Six jours avant l'attaque, l'équipe de Ribbon Finance a mis à jour le prix de l'oracle pour prendre en charge 18 décimales pour stETH, PAXG, LINK et AAVE. Cependant, d'autres actifs, y compris l'USDC, étaient toujours à huit décimales, et selon Zhou, l'écart de précision décimale a contribué à la vulnérabilité exploitée vendredi.
La dernière attaque @ribbonfinance semble être une erreur de configuration de l'oracle.
Il y a 6 jours, les propriétaires ont mis à jour le prix de l'oracle qui utilise un prix à 18 décimales pour stETH, PAXG, LINK et AAVE. Cependant, le prix d'autres actifs comme l'USDC est toujours à 8 décimales.
la création de l'OToken n'est pas un… pic.twitter.com/4cpZUNTNun
— Weilin (William) Li (@hklst4r) December 13, 2025
Selon un développeur pseudonyme utilisant le nom d'utilisateur Weilin sur X, la création des oTokens eux-mêmes n'était pas illégale car chaque jeton sous-jacent doit être ajouté à une liste blanche avant d'être utilisé comme garantie ou actif de frappe, une procédure que l'attaquant a suivie à la lettre.
L'activité malveillante a commencé par la création de produits d'options mal structurés, où un produit consistait en une option d'appel stETH avec un strike de 3 800 USDC, garantie par du WETH, devant expirer le 12 décembre. L'attaquant a ensuite créé plusieurs oTokens pour ces options, qui ont ensuite été exploités pour vider le protocole.
L'attaque impliquait des interactions répétées avec le contrat d'administration du proxy à 0x9D7b…8ae6B76. Certaines fonctions, comme transferOwnership et setImplementation, ont été utilisées pour manipuler les proxys de flux de prix via des appels délégués. Le pirate a invoqué une implémentation pour l'oracle afin de définir les prix d'expiration des actifs au même horodatage afin de provoquer des événements ExpiryPriceUpdated qui confirmaient les évaluations frauduleuses.
Les prix manipulés ont amené le système à reconnaître le stETH comme étant bien au-dessus du prix de frappe et ont brûlé 225 oTokens, rapportant 22,468662541163160869 WETH. Au total, le pirate a extrait environ 900 ETH par cette méthode.
La firme de sécurité Web3 Spectre a repéré les transferts initiaux vers une adresse de portefeuille à 0x354ad…9a355e, mais à partir de là, l'argent a été distribué à 14 comptes supplémentaires, dont beaucoup détenaient environ 100,1 ETH chacun. Une partie des fonds volés est déjà entrée dans ce que l'analyste Zhou a appelé des « TC » ou pools de consolidation de trésorerie.
Constructeur de protocole de prêt DeFi : l'application décentralisée Opyn n'a pas été compromise
Selon le développeur Monarch DeFi Anton Cheng, l'application décentralisée Opyn, soutenue par Coinbase, n'a pas été compromise comme le laissaient entendre les rumeurs sur Crypto Twitter.
J'ai examiné le piratage de Ribbon car je pourrais être responsable. Voici ce que j'ai trouvé jusqu'à présent :
1. @opyn_ n'a pas été piraté ; c'est en réalité une fourche de @ribbonfinance_.
2. Le piratage a principalement été déclenché par un code d'oracle mis à niveau qui permettait à quiconque de définir les prix pour les nouveaux actifs.Cela, lorsque… https://t.co/AcF2p495OM pic.twitter.com/BH2rAvNPmP
— Anton Cheng (@antonttc) décembre 13, 2025
Cheng a expliqué que le piratage de Ribbon Finance a été facilité par un code d'oracle mis à niveau qui permettait involontairement à tout utilisateur de définir les prix des actifs nouvellement ajoutés. Il a indiqué que l'attaque a commencé par une transaction préparatoire pour « préparer le terrain » en générant des oTokens mal structurés avec des garanties et des actifs de frappe légitimes. Il a continué en disant que les faux jetons ont permis au pirate de choisir des sous-jacents bien connus comme l'AAVE pour éviter d'attirer l'attention et d'être signalé.
L'attaquant a ensuite configuré trois « sous-comptes », chacun déposant une garantie minimale pour frapper les trois options. Tous les sous-comptes étaient a marqué de type 0, ce qui signifie qu'ils étaient entièrement garantis, mais l'absence de limite de paiement maximum pour chaque compte ou oToken a permis au responsable de vider les actifs sans aucune restriction.
Dans les systèmes Gamma d'Opyn, l'actif sous-jacent doit correspondre à la garantie pour les options d'appel et au strike pour les options de vente afin de maintenir les vendeurs entièrement garantis. Si un oracle est compromis, seuls les vendeurs de ce produit spécifique sont censés subir des pertes.
Pourtant, dans ce cas, la combinaison de la nouvelle création d'oTokens et de l'oracle manipulé a suffi à contourner ces protections.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
