Yearn Finance raportoi, että vanhaan yETH-tuotteeseen vaikutti hyväksikäyttö, jonka ansiosta hyökkääjä pystyi lyömään suuren määrän väärennettyjä rahakkeita ja vaihtamaan ne oikeiksi omaisuuksiksi.
Aiheeseen liittyvää luettavaa
Ketjussa olevien hälytysten ja protokollalausuntojen mukaan hyökkääjä loi lähes äärettömän määrän yETH:ta yhdessä tapahtumassa ja käytti sitten näitä tokeneita ETH:n ja nestemäisten panosten johdannaisten louhimiseen likviditeettipoolista.
Tapaus havaittiin ensimmäisen kerran 30.11.2025, ja sen kokonaisvaikutuksen on raportoitu olevan noin 9 miljoonaa dollaria.
Hyökkäys sisälsi lähes äärettömän määrän yETH-tokeneita lyömisen, mikä tyhjensi poolin yhdellä tapahtumalla.
~1K $ETH (arvo ~ 3 miljoonaa dollaria) lähetettiin #TornadoCashkun taas hyväksikäyttäjän… pic.twitter.com/IXNygpwoWa
Kuinka suoritus onnistui
Hyökkääjän kerrotaan käyttäneen yETH:n lyöntilogiikassa olevaa virhettä ja tuottanut 235 biljoonan luokkaa rahakkeita kerralla.
Nämä arvottomat rahakkeet vaihdettiin sitten tuotteeseen sidottujen Balancer- ja Curve-poolien oikeiksi varoiksi, mikä tyhjensi likviditeetin muutamassa minuutissa. Ketjumonitorit ja tietoturvatutkijat osoittivat, että rahapaja ja sitä seuraavat vaihdot kehittyivät lohkoketjussa erittäin nopeasti.
Marraskuun 30. päivänä kello 21.11 UTC tapahtui yETH:n vakaan pörssipoolin kanssa onnettomuus, joka johti suuren määrän yETH:n lyömiseen. Tämä sopimus on mukautettu versio suositusta stableswap-koodista, joka ei liity muihin Yearn-tuotteisiin. Yearn V2/V3 -holvit eivät ole vaarassa.
Mitä omaisuutta vietiin?
Raportit ovat paljastaneet, että noin 8 miljoonaa dollaria nostettiin yETH:n vakaasta pörssipoolista, kun taas noin 0,9 miljoonaa dollaria yETH-WETH-poolista.
Lisäksi noin 1 000 ETH:ta, jonka arvo oli muuttohetkellä noin 3 miljoonaa dollaria, lähetettiin Tornado Cashille yrittäessään peittää jäljet. Hyökkääjä muunsi väärennetyn yETH:n ETH:n ja nestemäisten panosten yhdistelmäksi ennen kuin yritti pestä varoja.
Kryptomarkkinoiden kokonaisarvo on tällä hetkellä 2,92 biljoonaa dollaria. Kaavio: TradingView’n vaikutus Yearnin ydintuotteisiin
Yearnin viranomaisten ja seurannan mukaan rikkomus rajoittui yETH-tuotteen aiempaan, vanhaan toteutukseen, eikä se vaikuttanut Yearnin tärkeimpiin V2- ja V3-holviin.
Haavoittuneen poolin talletukset eristettiin, kun ryhmä ja ulkopuoliset asiantuntijat aloittivat tutkimuksen. Tämän eristyksen sanotaan estäneen useimpien aktiivisten varastojen käyttäjävarojen koskemisen.
Markkinoiden reaktio ja laajemmat huolenaiheet
Aiheeseen liittyvää luettavaa
Yearn Finance kertoi työskentelevänsä kolmannen osapuolen tietoturvatiimien kanssa suorittaakseen ruumiinavauksen ja korjatakseen haavoittuvuuden. Kattaessa nimettyihin ryhmiin kuuluu kuulemma kolmannen osapuolen tarkastajia ja blockchain-tutkijoita, jotka jäljittävät varastettuja varoja ja neuvovat palautusvaihtoehdoista.
Protokollan neuvonta varoitti käyttäjiä vanhasta tuotteesta ja kehotti varovaisuuteen tarkastelun jatkuessa.
Suositeltu kuva Unsplashista, kaavio TradingViewista