GoPlus：Ribbon Finance 遭攻击或因「项目方管理地址被黑客控制」导致

Techub News 消息，GoPlus 发文分析去中心化期权协议 Ribbon Finance 遭受攻击的原理。攻击地址（0x657CDE）升级价格代理合约（0xa4ac_Proxy）为恶意的实现合约（0xE1f09d），然后设置 stETH、Aave、PAXG、LINK 这 4 个代币的到期时间和到期时价格，到期后攻击者发起了攻击，利用此时错误的价格获利。值得注意的是，项目方合约在创建时，攻击地址的 _transferOwnership 状态值就已被设置为 true，使其能够通过合约安全校验。分析显示，该攻击地址原先可能是项目方管理地址之一，后被黑客通过社会工程学攻击等手段控制并用于实施此次攻击。