Ribbon Finance遭攻击分析：项目方管理地址疑被黑客控制

去中心化期权协议 Ribbon Finance 遭受攻击，GoPlus 中文社区分析了其原理。

攻击过程：

1. 攻击者通过地址 0x657CDE 将价格代理合约升级为恶意合约。
2. 随后，将 stETH、Aave、PAXG、LINK 四个代币的到期时间设置为 2025年12月12日 16:00:00 (UTC+8)，并篡改了到期价格。
3. 攻击者利用这些错误的价格实施攻击并获利。

关键漏洞：
项目方合约在创建时，攻击地址的 _transferOwnership 状态值已被设为 true，使其能通过安全校验。分析指出，该地址原先可能是项目方管理地址之一，后被黑客通过社会工程学等手段控制并用于此次攻击。