Aevos Vault-Katastrophe: 19 % Rückerstattung? 🤯

In einer ruhigen Ecke der Blockchain-Welt ereignete sich eine tragikomische Geschichte. Aevo, der vom ehemaligen Ribbon Finance-Team aufgebaute Derivateplatz, bestätigte nach einem Oracle-bezogenen Smart-Contract-Upgrade am 12. Dezember einen Verlust von 2,7 Millionen US-Dollar aus seinen alten Ribbon DOV-Tresoren. 🧨

Wir bedauern, bestätigen zu müssen, dass die alten Ribbon-DOV-Tresore gestern aufgrund einer Schwachstelle in einem Smart-Contract-Update ausgenutzt wurden, was zu einem Verlust von etwa 2,7 Mio. USD führte.

Wir haben sofort Maßnahmen ergriffen, um die Grundursache zu ermitteln, und koordinieren uns mit CEXs und…

– Aevo (fka Ribbon Finance) (@ribbonfinance) 13. Dezember 2025

Kurz darauf teilte das Projektteam mit, dass Aevo alle Ribbon-Tresore dauerhaft deaktivieren und einen begrenzten Wiederherstellungsprozess für betroffene Benutzer durchführen werde. Darin heißt es, dass der alte Ribbon DOV-Tresor am 12. Dezember aufgrund von Smart-Contract-Schwachstellen in einem aktuellen Update gehackt wurde, was zu einem Verlust von 2,7 Millionen US-Dollar führte. 🤷‍♂️

Infolgedessen wurden alle Ribbon-Tresore angehalten und sollten bald dauerhaft deaktiviert werden, mit einem sechsmonatigen Anspruchsfenster bis zum 12. Juni 2026. Der Beitrag fügt hinzu, dass das DAO verbleibende Vermögenswerte liquidieren wird, um Benutzer „bis zu 19 % des fehlenden Betrags oder des Restbetrags“ zu entschädigen, je nachdem, welcher Betrag niedriger ist. 💸

Wir haben ein Update zum alten Ribbon-DOVs-Exploit, insbesondere zu den nächsten Schritten, die wir den betroffenen Tresoreinzahlern vorschlagen.

Wenn Sie über eine aktive Ribbon Vault-Position verfügen, lesen Sie diese bitte sorgfältig durch, da auf Ihrer Seite Maßnahmen erforderlich sind.

Alle Ribbon Vaults wurden gestoppt und…

– Aevo (fka Ribbon Finance) (@ribbonfinance) 14. Dezember 2025

Wie es tatsächlich zum Ribbon-Vault-Hack kam

Blockchain-Ermittler rekonstruierten den Angriffspfad mithilfe des Exploit-Vertrags unter 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE und mindestens 15 Empfängeradressen, die zuerst vom On-Chain-Analysten Spectre auf entwässert [NC] und Stablecoins. 🕵️‍♂️

Der alte Vertrag von @ribbonfinance wurde für insgesamt 2,7 Millionen US-Dollar abgelaufen.

Exploit-Vertrag: 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE

Diebstahladressen:0x354ad0816de79E72452C14001F564e5fDf9a355e0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9…

– Spectre (@SpecterAnalyst), 12. Dezember 2025

Sicherheitsberichte von mehreren Standorten stimmen darin überein, dass der Angreifer den Oracle-Proxy-Administrator missbraucht hat, um willkürliche Ablaufpreise für wstETH, AAVE, [NC] und andere Basiswerte zu übermitteln, und dann oToken-Positionen gegen Ribbons MarginPool abgerechnet hat, um Vermögenswerte aus den Tresoren zu entnehmen. 🤯

Obduktionen deuten auf einen Fehler bei der Dezimalinkongruenz hin, der sechs Tage zuvor aufgetreten ist, als Ribbon den Oracle-Preiser auf 18-Dezimal-Feeds für stETH, PAXG, LINK und AAVE aktualisiert hat, während USDC bei acht Dezimalstellen belassen wurde. Der Web3-Sicherheitsforscher Weilin betonte, dass die Konfiguration gefälschte Ablaufpreise mit einem gemeinsamen Zeitstempel für alle Vermögenswerte ermöglichte, die die Abwicklungspipeline dann als gültig für prominente Short-oToken-Positionen behandelte. Die Gelder sind nun auf die ursprünglichen 15 Adressen und mehrere Konsolidierungs-Wallets verteilt, ohne dass der Angreifer öffentlich über eine Wiederherstellung verhandeln muss. 🧠

Der neueste @ribbonfinance-Angriff scheint ein Oracle-Konfigurationsfehler zu sein.

Vor 6 Tagen haben die Eigentümer den Oracle-Preisrechner aktualisiert, der 18-Dezimal-Preise für stETH, PAXG, LINK und AAVE verwendet. Andere Vermögenswerte wie der USDC-Preis liegen jedoch immer noch bei 8 Dezimalstellen.

Die Erstellung von OToken ist kein…

– Weilin (William) Li (@hklst4r), 13. Dezember 2025

Der Aevo-Preis reagiert mit einem Rückgang

Der Markt hat Aevo bereits herabgestuft. AEVO wird heute bei etwa 0,041 US-Dollar pro Token gehandelt, mit einem 7-Tage-Rückgang von 7 % und einer Marktkapitalisierung von 37,7 Millionen US-Dollar bei einem Umlaufangebot von 915,8 Millionen. Dieser Preis liegt 98,9 % unter dem Allzeithoch vom 28. März 2024 von 3,86 $. 📉

Aevo-Preis in 7 Tagen | Quelle: CoinMarketCap

Der implizite Protokollwert bewegt sich nun in der Nähe des On-Chain-TVL von rund 28,2 Millionen US-Dollar, was die Fehlerquote verringert, wenn das DAO einen Tresorverlust von 32 % sozialisiert, aber nur bis zu 19 % Erstattung verspricht. 🤔

Gegenreaktion der Community wegen Ribbon-Wiederherstellungsplan

Die Reaktion der Community auf die Wiederherstellungsbedingungen von 19 % ist in den sozialen Kanälen und in der Sekundärberichterstattung feindselig geworden. Ein Benutzer schrieb: „Das ist total beschissen, man kann nicht einfach Geld von ruhenden Konten abheben. Was ist mit dieser Branche falsch?“ 😬

Das ist total beschissen, man kann nicht einfach Geld von ruhenden Konten abheben. Wtf ist falsch in dieser Branche

– 0xCommodity (@0xCommodity) 14. Dezember 2025

Kommentatoren argumentieren, dass die ersten Ribbon-Einzahler, die ihre Vermögenswerte aufgrund vorheriger Zusicherungen in veralteten DOV-Tresoren hinterlassen haben, jetzt einen Abschlag von über 80 % erhalten. Gleichzeitig betreibt Aevo seine Hauptderivatebörse und seinen L2-Stack weiterhin unbeeinträchtigt. 🤷‍♀️

„…die Konten mit den größten Einlagen wurden in den letzten zwei bis vier Jahren inaktiv, und es ist sehr wahrscheinlich, dass viele von ihnen überhaupt keine Abhebungen vornehmen werden.“

Ab 2020 heben die Leute immer noch Geld von Saffron V1 ab. Man kann nicht einfach Geld stehlen, weil es schon eine Weile eingezahlt ist.

– Psykeeper 𐁉 (@psykeeper) 14. Dezember 2025

Benutzer berichten außerdem, dass einige Threads gelöscht wurden und dass das Kommentieren von Aevo-Beiträgen nun auf verifizierte Konten und die zuvor von Aevo erwähnten Konten beschränkt ist. Das Unternehmen weist Benutzer auf den formellen Anspruchsprozess hin und nicht auf eine offene Debatte. 🚫

Aus institutioneller Sicht sieht der Exploit selbst wie ein Oracle-Config-Fehler wie aus dem Lehrbuch aus. Dennoch spiegelt die Reaktion frühere Stressepisoden rund um Mango, Euler und andere wider, bei denen die technische Lösung schneller eintraf als die soziale. 🧠

Ein Desk, der die Größe über Aevo weiterleitet, muss jetzt nicht nur das Smart-Contract-Risiko, sondern auch das Governance- und Social-Layer-Risiko in jedem Tresorprodukt mit der Ribbon-Legacy-Marke einpreisen, da das DAO einen Präzedenzfall geschaffen hat, dass Verluste in älteren Tresorlinien zu einem Bruchteil des Nennwerts ausgeglichen werden können, selbst wenn der Kernhandelsplatz und der Token aktiv bleiben. 🤝

Weiterlesen

2025-12-15 13:36