主なポイント
- Aevoの旧Ribbon DOVボールトは、12月12日にオラクルのアップグレードによってスマートコントラクトの脆弱性が発生し、270万ドルの損失を被りました。
- すべてのRibbonボールトは永久に無効化され、2026年6月12日まで6か月間の請求期間が設けられます。
- DAOは残りの資産を清算し、ユーザーに失われた金額の最大19%まで補償します。
Aevo は、元Ribbon Financeチームによって構築されたデリバティブ取引所であり、12月12日のオラクル関連のスマートコントラクトアップグレード後、旧Ribbon DOVボールトで270万ドルの損失が発生したことを確認しました。
昨日、スマートコントラクトのアップデートにおける脆弱性により、旧Ribbon DOVボールトが悪用され、約270万ドルの損失が発生したことを遺憾ながら確認いたします。
直ちに根本原因の特定に着手し、CEXおよび…と連携しています。
— Aevo (fka Ribbon Finance) (@ribbonfinance) 2025年12月13日
その直後、プロジェクトチームは、AevoがすべてのRibbonボールトを永久に無効化し、被害を受けたユーザー向けに上限付きの回復プロセスを実施することを伝えました。最近のアップデートによるスマートコントラクトの脆弱性により、12月12日に旧Ribbon DOVボールトがハッキングされ、270万ドルの損失が発生したと説明しています。
その結果、すべてのRibbonボールトは一時停止され、まもなく永久に無効化される予定であり、2026年6月12日まで6か月間の請求期間が設けられます。投稿では、DAOが残りの資産を清算し、「失われた金額の最大19%または残高のいずれか低い方」をユーザーに補償すると付け加えています。
旧Ribbon DOVsのエクスプロイトに関する最新情報と、影響を受けたボールト預金者向けの今後の提案ステップについてお知らせします。
アクティブなRibbonボールトポジションをお持ちの方は、必ずご確認ください。対応が必要となります。
すべてのRibbonボールトは停止されており…
— Aevo (fka Ribbon Finance) (@ribbonfinance) 2025年12月14日
Ribbonボールトハックの実際の経緯
ブロックチェーン調査員は、エクスプロイトコントラクト（0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE）と、オンチェーンアナリストSpecterがXで最初に特定した少なくとも15の受取アドレスを用いて攻撃経路を再構築しました。Specterは「@ribbonfinanceの旧コントラクトから合計270万ドルが流出した」と記し、流出した[NC]やステーブルコインを受け取った盗難アドレスをリストアップしました。
@ribbonfinanceの旧コントラクトから合計270万ドルが流出しました。
エクスプロイトコントラクト: 0x3c212A044760DE5a529B3Ba59363ddeCcc2210bE
盗難アドレス:
0x354ad0816de79E72452C14001F564e5fDf9a355e
0x2Cfea8EfAb822778E4e109E8f9BCdc3e9E22CCC9… pic.twitter.com/sXKDYoL4RS— Specter (@SpecterAnalyst) 2025年12月12日
複数のセキュリティレポートによると、攻撃者はオラクルプロキシ管理者を悪用し、wstETH、AAVE、[NC]、その他の原資産に対して任意の満期価格を提出、その後RibbonのMarginPoolでoTokenポジションを決済し、ボールトから資産を引き出しました。
事後分析によると、6日前にRibbonがstETH、PAXG、LINK、AAVEのオラクルプライサーを18桁フィードに更新しつつ、USDCは8桁のままにしたことで発生した小数点不一致バグが原因とされています。Web3セキュリティ研究者のWeilinは、この設定により、複数資産で同一タイムスタンプの偽満期価格が作成され、決済パイプラインが主要なショートoTokenポジションに対して有効とみなしてしまったと指摘しています。資金は現在、元の15アドレスといくつかの統合ウォレットに分散されており、攻撃者からの公開的な回収交渉は行われていません。
最新の@ribbonfinance攻撃は、オラクル設定のミスによるもののようです。
6日前、所有者がオラクルプライサーを更新し、stETH、PAXG、LINK、AAVEの価格を18桁に変更しました。しかし、USDCなど他の資産の価格は8桁のままでした。
OTokenの作成は… pic.twitter.com/4cpZUNTNun
— Weilin (William) Li (@hklst4r) 2025年12月13日
Aevo価格は下落で反応
市場はすでにAevoを下落させています。AEVOは本日1トークンあたり約0.041ドルで取引されており、7日間で7%下落、流通供給量915.8百万に対し時価総額は37.7百万ドルです。この価格は、2024年3月28日の史上最高値3.86ドルから98.9%下回っています。
Aevoの7日間価格 | 出典: CoinMarketCap
プロトコルの暗黙的価値は現在、オンチェーンTVL約28.2百万ドルに近づいており、DAOが32%のボールト損失を社会化しつつ、最大19%の補償しか約束しない場合、誤差の余地が圧縮されています。
Ribbon回復プランへのコミュニティの反発
19%の回復条件に対するコミュニティの反応は、各種ソーシャルチャンネルや二次報道で敵対的なものとなっています。
これは本当にひどい、休眠アカウントから勝手にお金を取るなんて。この業界は一体どうなってるんだ
— 0xCommodity (@0xCommodity) 2025年12月14日
コメントでは、以前の保証に基づき旧DOVボールトに資産を預けていた初期のRibbon預金者が、80%以上の損失を被ることになったと主張されています。一方で、Aevoはメインのデリバティブ取引所およびL2スタックを影響なく運営し続けています。
「…最大の預金を持つアカウントは過去2～4年の間に休眠状態となっており、多くが全く引き出さない可能性が高い。」
人々はまだ2020年のSaffron V1から引き出しを続けています。長期間預けられているからといって、お金を盗んでいい理由にはなりません。pic.twitter.com/yZxKtsKQvw
— psykeeper 𐁉 (@psykeeper) 2025年12月14日
ユーザーからは、一部のスレッドが削除され、Aevoの投稿へのコメントが現在は認証済みアカウントやAevoが以前に言及したアカウントのみに制限されているとの報告もあります。同社はユーザーに対し、オープンな議論ではなく正式な請求プロセスを案内しています。
機関投資家の観点から見ると、今回のエクスプロイトは典型的なオラクル設定ミスの教科書的事例のように見えます。それでも、対応はMangoやEulerなど過去のストレス事例と同様、技術的な修正が社会的な修正よりも早く行われています。
現在Aevoを通じて大口取引を行うデスクは、スマートコントラクトリスクだけでなく、Ribbonレガシーブランドを持つボールト商品においてガバナンスや社会的リスクも価格に織り込む必要があります。DAOが旧ボールトラインの損失を額面の一部で清算する前例を作ったため、コア取引所やトークンが存続していても、損失が全額補償されるとは限らないからです。
