资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
针对Aevo（前身为Ribbon Finance）的精密攻击
一场针对Aevo（前身为Ribbon Finance）的精密攻击从其旧合约中盗取了270万美元资金，并转移至十五个独立钱包地址，部分资金已被整合至更大规模的账户中。
攻击时间线与手法
据社交平台X上多位区块链调查人员披露，此次攻击发生在该平台升级其预言机基础设施和期权创建流程后仅六天。攻击者通过智能合约指令提取了数百枚以太坊代币及其他数字资产。
Web3安全分析师Liyi Zhou在技术分析中指出，恶意合约通过滥用价格反馈代理机制操纵了Opyn/Ribbon预言机堆栈，并在统一到期时间戳下向共享预言机推送了wstETH、AAVE、LINK和WBTC的任意到期价格。攻击者针对Ribbon Finance的MarginPool建立了大规模空头oToken头寸，该池在结算流程中采用了被篡改的到期价格，最终通过赎回交易将数百枚WETH、wstETH、数千枚USDC及多枚WBTC转移至盗取地址。
预言机升级漏洞成因
攻击发生六日前，Ribbon Finance团队更新了预言机定价模块，开始支持stETH、PAXG、LINK和AAVE的18位小数精度。但USDC等其他资产仍保持8位小数精度，这种精度差异成为本次漏洞的关键诱因。
化名开发者Weilin在X平台补充说明，oToken创建本身符合规范，因为所有底层代币在作为抵押物或行权资产前均需通过白名单验证，攻击者严格遵循了该流程。恶意活动始于创建结构异常的期权产品，例如其中一个产品为行权价3800 USDC的stETH看涨期权，以WETH作为抵押物，到期日设定为12月12日。攻击者随后为这些期权创建了多个oToken，并利用其抽空协议资金。
资金流向与系统漏洞
攻击过程涉及与代理管理合约的重复交互，通过委托调用操纵价格反馈代理。黑客调用预言机实现程序，在相同时间戳设置资产到期价格，触发ExpiryPriceUpdated事件以确认伪造估值。被操纵的价格使系统误判stETH远高于行权价，最终销毁225枚oToken并获取22.47枚WETH。通过此方式，攻击者共计提取约900枚ETH。
Web3安全公司Spectre监测到初始资金流向特定钱包地址，随后资金被分发至14个附属账户，多数账户持有约100.1枚ETH。部分被盗资金已进入被分析师称为“资金归集池”的地址。
关联协议状态说明
Monarch DeFi开发者Anton Cheng澄清，Coinbase支持的去中心化应用Opyn并未如加密社区传言般遭受攻击。他指出本次漏洞源于升级后的预言机代码意外允许用户为新资产设置价格。攻击预备阶段通过合法抵押物与行权资产生成异常oToken，并选取AAVE等常见标的以规避监测。
黑客设立了三个“子账户”，各存入最低额度抵押物以铸造三种期权。虽然账户标记为“全额抵押”类型，但由于未设置单账户或oToken的最高支付限额，攻击得以无约束进行。在Opyn的Gamma风控体系下，看涨期权的标的资产需与抵押物匹配，看跌期权需与行权资产匹配，以确保卖方全额抵押。但新型oToken创建与受控预言机的组合攻击最终突破了这些防护机制。
