Aegixe区块链安全周报 12.8-12.14

摘要

近期加密领域发生四起安全事件 ：

1.Ethereum Permit钓鱼攻击 (12月8日)：一名用户因签署恶意Permit交易损失约44万美元USDC，此类攻击是常见的许可钓鱼变体。

2.0G奖励合约漏洞利用 (12月11日)：攻击者利用泄露的AliCloud私钥和emergencyWithdraw函数，窃取52万0G代币、9.93 ETH和4200 USDT。

3.Aevo遗留Ribbon DOV金库漏洞 (12月12日)：12月6日预言机升级后暴露漏洞，攻击者操纵价格馈送，损失270万美元（净230万美元）。Aevo计划停用金库并补偿用户。

4.Zerobase前端劫持 (12月12日)：攻击者入侵外部中间件，劫持前端诱导用户批准钓鱼合约，损失超过24万美元USDT，影响270+用户。

主要安全事件

Ethereum Permit钓鱼攻击

事件概览

2025年12月8日，一名用户因签署恶意Permit交易而损失约44万美元USDC。该攻击利用Ethereum的Permit函数，原本用于简化ERC-20代币批准，但攻击者通过钓鱼诱导用户授予支出权限，导致资金立即被清空。这属于许可钓鱼攻击的一部分，11月此类事件已导致770万美元损失，同比增长137%。

事件动态

攻击于12月8日发生，Scam Sniffer在当日报告了该事件，并强调受害者数量虽下降42%，但总损失激增。12月9日，Decrypt和Coinotag等媒体详细分析了攻击机制，指出攻击者针对“大鲸”用户，专家如Circuit CEO Harry Donnelly呼吁检查发送地址。截止12月15日，无资金追回更新，但此类攻击在2025年已累计37,654个钓鱼合约，损失达1.907亿美元。

安全建议

对项目方：在DApp中集成签名模拟工具和警告机制，加强用户教育模块，避免依赖单一批准函数；定期审计许可相关代码，监控链上异常签名。

对用户：仔细审查签名请求，使用如MetaMask的交易模拟功能；启用硬件钱包，定期使用Revoke.cash撤销不必要批准；避免点击不明链接，优先使用官方DApp。

• 仔细审查签名请求

• 使用如MetaMask的交易模拟功能

• 启用硬件钱包，定期使用Revoke.cash撤销不必要批准

• 避免点击不明链接，优先使用官方DApp

0G奖励合约漏洞利用

事件概览

2025年12月11日，攻击者利用0G奖励分发合约的“emergencyWithdraw”函数，通过泄露的AliCloud服务器私钥窃取52万0G代币、9.93 ETH和4200 USDT，总价值约52万美元。资金被桥接到其他链并通过Tornado Cash洗钱，用户资金和主链未受影响。

事件动态

攻击于12月11日发生，0G基金会于12月12日确认事件，追溯到12月5日Next.js漏洞（CVE-2025-66478）导致多个AliCloud实例被入侵。私钥泄露后，攻击者执行紧急提款。12月13日，基金会报告已替换所有私钥、升级防火墙，并强调事件隔离于奖励合约。截止12月15日，CertiK确认损失一致，无进一步资金流动更新，但基金会计划加强密钥管理。

安全建议

对项目方：避免在云服务器本地存储私钥，使用多签名钱包和硬件安全模块（HSM）；定期审计外部依赖如Next.js，进行渗透测试；实施零信任架构，限制函数权限。

对用户：监控钱包活动，使用多因素认证；避免连接可疑DApp，定期检查合约交互历史；启用警报工具如Scam Sniffer。

• 监控钱包活动，使用多因素认证
• 避免连接可疑DApp，定期检查合约交互历史
• 启用警报工具如Scam Sniffer

Aevo遗留Ribbon DOV金库漏洞

事件概览

2025年12月12日，攻击者利用12月6日预言机升级后的漏洞，操纵wstETH、AAVE、LINK和WBTC的到期价格，针对Ethereum上的遗留DeFi期权金库（DOV），损失270万美元（净230万美元）。Aevo DAO扣押40万美元，不影响主L2交易所。

事件动态

漏洞于12月6日升级引入，12月12日被利用，资金分散至15个地址。Aevo于当日暂停所有Ribbon金库，并于12月13日宣布永久停用，提供6个月取款期（至2026年6月）。12月14日，The Block报告净损失32%，Aevo计划对活跃用户减损19%，并允许治理提案修改方案。12月15日，无资金追回，但Aevo强调平台安全。

安全建议

对项目方：升级前进行全面测试，包括预言机权限模拟；使用多源预言机，避免单一配置；定期审计遗留产品，及时迁移用户。

对用户：监控旧版DeFi产品，取款时检查减损；使用多钱包隔离资产；参与治理提案以影响补偿。

• 监控旧版DeFi产品，取款时检查减损
• 使用多钱包隔离资产
• 参与治理提案以影响补偿

Zerobase前端劫持

事件概览

2025年12月12日，攻击者入侵Zerobase协议前端（外部中间件漏洞），诱导270多名用户批准钓鱼合约，损失超过24万美元USDT。一个用户损失高达12.3万USDT。核心协议未受影响，发生在BNB Chain。

事件动态

攻击于12月12日晚间发生，Lookonchain和SlowMist于当日警报。Binance钱包团队确认并阻塞恶意域名、合约。Zerobase于12月13日澄清为外部中间件劫持，非协议漏洞，并限制前端访问。截止12月15日，无进一步损失报告，但社区呼吁加强前端审计。

安全建议

对项目方：使用多层前端安全，如Subresource Integrity（SRI）和Content Security Policy（CSP）；审计外部中间件，避免单一依赖；实施实时监控和自动回滚。

对用户：验证网站URL，使用书签访问；启用浏览器扩展如uBlock Origin；定期撤销批准，使用硬件钱包连接。

• 验证网站URL，使用书签访问

• 启用浏览器扩展如uBlock Origin

• 定期撤销批准，使用硬件钱包连接

安全动态总结与建议

这些事件虽规模相对较小，但暴露了DeFi和Web3基础设施的持续漏洞。签名钓鱼攻击导致用户资金即时转移，累计损失已超1.9亿美元，受害者数量下降但金额激增；私钥泄露利用供应链弱点，影响奖励合约但用户资金未波及；预言机升级缺陷造成期权金库重大损失，项目方迅速暂停服务并规划补偿；前端劫持诱导批准恶意交易，强调界面安全的重要性。

动态来看，各项目方响应及时，如确认事件、升级系统、阻塞域名和修复前端，但资金追回难度大，社区争议焦点在于补偿公平性和UI改进。项目方应强化部署审计、多签名机制和第三方依赖审查；用户需警惕签名、使用硬件钱包和撤销工具如Revoke.cash。提升教育和监控，能有效降低类似威胁。

原文链接 ：https://mp.weixin.qq.com/s/gSU5aNkZZxohkY9tqpKosw