Aevo가 이름을 바꾼 Ribbon Finance에 대한 정교한 공격으로 기존trac에서 270만 달러가 빠져나가 15개의 개별 지갑 주소로 이동했으며, 그중 일부는 이미 더 큰 계좌로 통합되었습니다.
소셜 플랫폼 X의 여러 블록체인 조사관에 따르면, 해당 공격은 플랫폼이 오라클 인프라와 옵션 생성 절차를 업그레이드한 지 불과 6일 만에 발생했습니다. 공격자들은 스마트trac프롬프트를 사용하여 수백 개의 Ethereum 토큰과 기타 디지털 자산을trac.
기존 계약trac와의 @ribbonfinance 총 270만 달러가 빠져나갔습니다.
익스플로잇trac: 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE
도난 주소:
0x354ad0816de79E72452C14001F564e5fDf9a355e
0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9… pic.twitter.com/sXKDYoL4RS— 스펙터 (@SpecterAnalyst) 2025년 12월 12일
해당 취약점을 설명하는 게시글에서 Web3 보안 분석가인 Liyi Zhou는 악의적인 계약trac프록시를 악용하여 Opyn/Ribbon 오라클 스택을 조작하고, wstETH, AAVE, LINK, WBTC에 대해 임의의 만료 가격을 공통 만료 타임스탬프에 공유 오라클에 입력했다고 밝혔습니다.
"공격자는 리본 파이낸스의 마진풀에 대해 대규모의 oToken 공매도 포지션을 설정했고, 리본 파이낸스는 위조된 만기 가격을 결제 파이프라인에 사용하여 수백 개의 WETH와 wstETH, 수천 개의 USDC, 그리고 수 개의 WBTC를 redeem 및 redeemTo 거래를 통해 도용 주소로 이체했습니다."라고 저우는 설명했습니다.
리본 파이낸스의 오라클 가격 상향 조정에는 몇 가지 약점이 있었습니다.
공격 발생 6일 전, 리본 파이낸스 팀은 stETH, PAXG, LINK, AAVE. 그러나 USDC를 포함한 다른 자산들은 여전히 8자리 소수점만 지원했으며, 저우에 따르면 이러한 소수점 정밀도 차이가 금요일에 악용된 취약점의 원인이 되었다고 합니다.
최근 @ribbonfinance 공격은 오라클 구성 오류로 보입니다.
6일 전, 소유주들은 stETH, PAXG, LINK 및 AAVE의 가격을 소수점 18자리까지 표시하는 오라클 가격을 업데이트했습니다. 하지만 USDC와 같은 다른 자산의 가격은 여전히 소수점 8자리까지 표시됩니다.
OToken 생성은…이 아닙니다. pic.twitter.com/4cpZUNTNun
— Weilin(William) Li(@hklst4r) 2025년 12월 13일
X 플랫폼에서 Weilin이라는 가명을 사용하는 한 개발자에 따르면, oToken 자체의 생성은 불법이 아니라고 합니다. 모든 기본 토큰은 담보 또는 공격 자산으로 사용되기 전에 화이트리스트에 등록되어야 하며, 공격자는 이 절차를 철저히 준수했기 때문입니다.
악의적인 활동은 구조가 부실한 옵션 상품을 생성하는 것에서 시작되었는데, 그중 하나는 WETH를 담보로 하고 12월 12일에 만료되는 3,800 USDC 행사가격의 stETH 콜옵션으로 구성된 상품이었습니다. 공격자는 이러한 옵션을 위해 여러 개의 oToken을 생성했고, 이후 이를 악용하여 프로토콜의 자금을 빼돌렸습니다.
이번 공격은 0x9D7b…8ae6B76 주소의 프록시 관리자trac과 반복적으로 상호 작용하는 방식으로 이루어졌습니다. transferOwnership 및 setImplementation과 같은 일부 함수는 위임 호출을 통해 가격 피드 프록시를 조작하는 데 사용되었습니다. 해커는 오라클 구현을 호출하여 자산 만료 가격을 동일한 타임스탬프로 설정함으로써 ExpiryPriceUpdated 이벤트를 발생시켜 부정 평가를 확인했습니다.
조작된 가격으로 인해 시스템은 stETH가 행사가격보다 훨씬 높다고 인식하여 225개의 oToken을 소각했고, 그 결과 22.468662541163160869 WETH가 생성되었습니다. 해커는 이 방법을 통해 총 약 900 ETH를trac렸습니다.
웹3 보안 회사인 스펙터(Spectre)는 0x354ad…9a355e 지갑 주소로의 최초 자금 이체를 발견했지만, 이후 해당 자금은 14개의 다른 계정으로 분산되었고, 각 계정에는 약 100.1 ETH가 보유되었습니다. 도난당한 자금 중 일부는 블록체인 전문가 저우(Zhou)가 "TC" 또는 재무 통합 풀이라고 부르는 곳으로 이미 유입되었습니다.
DeFi 대출 프로토콜 개발사인 Opyn dApp은 해킹당하지 않았습니다.
모나크 DeFi (Monarch DeFi) 개발자 안톤 쳉에 따르면, 코인베이스가 지원하는 탈중앙화 애플리케이션 오핀(Opyn)은 암호화폐 트위터에서 떠돌던 소문과는 달리 해킹당하지 않았다고 합니다.
제가 리본 해킹의 원인일 수도 있다고 생각해서 살펴봤습니다. 지금까지 제가 발견한 내용은 다음과 같습니다.
1. @opyn_은 에서 포크된 계정입니다 @ribbonfinance_.
2. 해킹의 주된 원인은 누구나 새로운 자산의 가격을 설정할 수 있도록 허용한 오라클 코드의 업그레이드 때문이었습니다.이럴 때… https://t.co/AcF2p495OM pic.twitter.com/BH2rAvNPmP
— 안톤 쳉(@antonttc) 2025년 12월 13일
청은 리본 파이낸스 해킹이 의도치 않게 모든 사용자가 새로 추가된 자산의 가격을 설정할 수 있도록 허용한 오라클 코드 업그레이드로 인해 발생했다고 설명했습니다. 그는 공격이 "사태를 조율하기 위한" 사전 거래로 시작되었으며, 이를 위해 합법적인 담보와 공격 대상 자산을 이용해 구조가 부실한 oToken을 생성했다고 밝혔습니다. 그는 또한 이러한 가짜 토큰을 통해 해커가 AAVE 와 같은 잘 알려진 기초자산을 선택하여 주목을 피하고 발각되지 않을 수 있었다고 덧붙였습니다.
해커는 세 개의 "하위 계정"을 개설하고, 각 계정에 최소한의 담보금을 예치하여 세 가지 옵션 모두를 발행했습니다. 모든 하위 계정은 표시되어 , 이는 담보가 완전히 확보되었음을 의미합니다. 하지만 각 계정이나 oToken에 대한 최대 지급 한도가 없었기 때문에 공격자는 아무런 제약 없이 자산을 빼돌릴 수 있었습니다.
오핀의 감마 시스템에서는 콜옵션의 경우 기초자산이 담보 가치와 일치해야 하고, 풋옵션의 경우 행사가격이 일치해야 매도자가 완전한 담보를 확보할 수 있습니다. 오라클이 손상되더라도 해당 특정 상품의 매도자만 피해를 입도록 설계되었습니다.
하지만 이 경우에는 새로운 oToken 생성과 조작된 오라클의 조합만으로도 이러한 보호 조치를 우회하기에 충분했습니다.
