Ghi chú chính
- Các vault Ribbon DOV cũ của Aevo đã mất 2,7 triệu USD vào ngày 12 tháng 12 sau khi một bản nâng cấp oracle đã gây ra lỗ hổng hợp đồng thông minh.
- Tất cả các vault Ribbon sẽ bị vô hiệu hóa vĩnh viễn và cửa sổ yêu cầu bồi thường kéo dài sáu tháng sẽ kết thúc vào ngày 12 tháng 6 năm 2026.
- DAO sẽ thanh lý tài sản còn lại và bồi thường cho người dùng tối đa 19% số tiền bị mất.
Aevo, nền tảng phái sinh được xây dựng bởi đội ngũ Ribbon Finance trước đây, đã xác nhận khoản lỗ 2,7 triệu USD từ các vault Ribbon DOV cũ sau một bản nâng cấp hợp đồng thông minh liên quan đến oracle vào ngày 12 tháng 12.
Chúng tôi rất tiếc phải xác nhận rằng các vault Ribbon DOV cũ đã bị khai thác vào ngày hôm qua do lỗ hổng trong bản cập nhật hợp đồng thông minh, dẫn đến khoản lỗ khoảng 2,7 triệu USD.
Chúng tôi đã ngay lập tức thực hiện các biện pháp để xác định nguyên nhân gốc rễ và đang phối hợp với các CEX và…
— Aevo (fka Ribbon Finance) (@ribbonfinance) 13 tháng 12, 2025
Ngay sau đó, đội ngũ dự án thông báo rằng Aevo sẽ vô hiệu hóa vĩnh viễn tất cả các vault Ribbon và triển khai quy trình phục hồi giới hạn cho những người dùng bị ảnh hưởng. Họ giải thích rằng vault Ribbon DOV cũ đã bị hack vào ngày 12 tháng 12 do lỗ hổng hợp đồng thông minh trong bản cập nhật gần đây, dẫn đến khoản lỗ 2,7 triệu USD.
Do đó, tất cả các vault Ribbon đã bị tạm dừng và sẽ sớm bị vô hiệu hóa vĩnh viễn, với cửa sổ yêu cầu bồi thường kéo dài sáu tháng đến hết ngày 12 tháng 6 năm 2026. Bài đăng bổ sung rằng DAO sẽ thanh lý tài sản còn lại để bồi thường cho người dùng “tối đa 19% số tiền bị mất hoặc số dư còn lại”, tùy theo số nào thấp hơn.
Chúng tôi có cập nhật về vụ khai thác các Ribbon DOV cũ, cụ thể là các bước tiếp theo mà chúng tôi đề xuất cho những người gửi tiền vào vault bị ảnh hưởng.
Nếu bạn có vị thế vault Ribbon đang hoạt động, vui lòng đọc kỹ vì bạn sẽ cần thực hiện hành động.
Tất cả các vault Ribbon đã bị dừng và…
— Aevo (fka Ribbon Finance) (@ribbonfinance) 14 tháng 12, 2025
Cách vụ hack vault Ribbon thực sự xảy ra
Các nhà điều tra blockchain đã tái dựng đường đi của cuộc tấn công bằng cách sử dụng hợp đồng khai thác tại 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE và ít nhất 15 địa chỉ nhận đầu tiên được nhà phân tích on-chain Specter gắn cờ trên X. Specter viết rằng “hợp đồng cũ của @ribbonfinance đã bị rút cạn tổng cộng 2,7 triệu USD”, liệt kê các địa chỉ trộm cắp đã nhận được [NC] và stablecoin bị rút cạn.
Hợp đồng cũ của @ribbonfinance đã bị rút cạn tổng cộng 2,7 triệu USD.
Hợp đồng khai thác: 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE
Địa chỉ trộm cắp:
0x354ad0816de79E72452C14001F564e5fDf9a355e
0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9… pic.twitter.com/sXKDYoL4RS— Specter (@SpecterAnalyst) 12 tháng 12, 2025
Các bản phân tích bảo mật từ nhiều nguồn đồng ý rằng kẻ tấn công đã lợi dụng quyền admin proxy của oracle để gửi các giá hết hạn tùy ý cho wstETH, AAVE, [NC] và các tài sản cơ sở khác, sau đó thanh toán các vị thế oToken với MarginPool của Ribbon để rút tài sản khỏi các vault.
Các báo cáo hậu kiểm chỉ ra lỗi không khớp số thập phân được giới thiệu sáu ngày trước đó, khi Ribbon cập nhật oracle pricer lên nguồn giá 18 số thập phân cho stETH, PAXG, LINK và AAVE trong khi vẫn giữ USDC ở 8 số thập phân. Nhà nghiên cứu bảo mật Web3 Weilin nhấn mạnh rằng cấu hình này cho phép tạo giá hết hạn giả tại cùng một mốc thời gian cho nhiều tài sản, mà quy trình thanh toán sau đó lại coi là hợp lệ cho các vị thế oToken short lớn. Hiện tại, số tiền bị đánh cắp đang nằm rải rác ở 15 địa chỉ ban đầu và một số ví hợp nhất, chưa có cuộc đàm phán công khai nào từ phía kẻ tấn công về việc hoàn trả.
Cuộc tấn công mới nhất vào @ribbonfinance dường như là do lỗi cấu hình oracle.
6 ngày trước, chủ sở hữu đã cập nhật oracle pricer sử dụng giá 18 số thập phân cho stETH, PAXG, LINK và AAVE. Tuy nhiên, các tài sản khác như USDC vẫn giữ giá ở 8 số thập phân.
Việc tạo OToken không phải là… pic.twitter.com/4cpZUNTNun
— Weilin (William) Li (@hklst4r) 13 tháng 12, 2025
Giá Aevo phản ứng bằng sự sụt giảm
Thị trường đã nhanh chóng phản ứng tiêu cực với Aevo. AEVO hiện giao dịch ở mức khoảng 0,041 USD mỗi token, giảm 7% trong 7 ngày qua và vốn hóa thị trường đạt 37,7 triệu USD với nguồn cung lưu hành là 915,8 triệu. Mức giá này thấp hơn 98,9% so với mức đỉnh mọi thời đại vào ngày 28 tháng 3 năm 2024 là 3,86 USD.
Giá Aevo trong 7 ngày | Nguồn: CoinMarketCap
Giá trị ngụ ý của giao thức hiện gần bằng TVL on-chain khoảng 28,2 triệu USD, điều này làm giảm biên độ sai số khi DAO xã hội hóa khoản lỗ 32% của vault nhưng chỉ hứa bồi thường tối đa 19%.
Phản ứng dữ dội của cộng đồng về kế hoạch phục hồi Ribbon
Phản ứng của cộng đồng đối với điều khoản bồi thường 19% đã trở nên gay gắt trên các kênh xã hội và các báo cáo thứ cấp.
Điều này thực sự quá tệ, bạn không thể chỉ lấy tiền từ các tài khoản không hoạt động. Ngành này có vấn đề gì vậy?
— 0xCommodity (@0xCommodity) 14 tháng 12, 2025
Nhiều ý kiến cho rằng những người gửi tiền vào Ribbon từ sớm, để tài sản trong các vault DOV đã ngừng hoạt động dựa trên các cam kết trước đó, giờ đây phải chịu khoản lỗ hơn 80%. Trong khi đó, Aevo vẫn tiếp tục vận hành sàn giao dịch phái sinh chính và L2 stack mà không bị ảnh hưởng.
"…các tài khoản có khoản gửi lớn nhất đã không hoạt động trong 2–4 năm qua, và rất có thể nhiều người trong số họ sẽ không rút tiền."
Mọi người vẫn đang rút tiền từ Saffron V1 từ năm 2020. Bạn không thể chỉ lấy tiền vì nó đã được gửi lâu. pic.twitter.com/yZxKtsKQvw
— psykeeper 𐁉 (@psykeeper) 14 tháng 12, 2025
Người dùng cũng báo cáo rằng một số chủ đề đã bị xóa, và việc bình luận trên các bài đăng của Aevo hiện chỉ giới hạn cho các tài khoản đã xác minh và những người từng được Aevo nhắc đến. Công ty hướng người dùng đến quy trình yêu cầu bồi thường chính thức thay vì tranh luận công khai.
Ở góc độ tổ chức, bản thân vụ khai thác này giống như một ví dụ điển hình về lỗi cấu hình oracle. Tuy nhiên, phản ứng của dự án lại lặp lại các trường hợp căng thẳng trước đây như Mango, Euler và các dự án khác, nơi giải pháp kỹ thuật được thực hiện nhanh hơn so với giải pháp xã hội.
Một bàn giao dịch chuyển khối lượng qua Aevo giờ đây không chỉ phải định giá rủi ro hợp đồng thông minh, mà còn cả rủi ro quản trị và rủi ro tầng xã hội đối với bất kỳ sản phẩm vault nào mang thương hiệu Ribbon legacy, vì DAO đã tạo tiền lệ rằng các khoản lỗ ở các dòng vault cũ có thể được thanh toán với tỷ lệ thấp hơn nhiều so với giá trị danh nghĩa, ngay cả khi nền tảng giao dịch cốt lõi và token vẫn còn hoạt động.
