Yearn Finance ramt af $9M DeFi-udnyttelse, genvinder $2.39M pxETH

Vurdering og Inddæmning

Yearn Finance, den decentraliserede finans (DeFi) afkastaggregator, har bekræftet en sikkerhedshændelse, der involverede en brugerdefineret yETH stableswap-pool, der resulterede i ca. 9 millioner dollars i samlede tab. Udnyttelsen, der fandt sted kl. 16:11 EST den 30. november, involverede uautoriseret minting af en stor mængde yETH. Afgørende er det, at Yearn meddelte, at den berørte kontrakt er en brugerdefineret version af populær stableswap-kode og er helt uafhængig af andre Yearn-produkter.

I en opdatering delt på X bekræftede protokollen, at de vigtigste Yearn V2 og V3 hvelve ikke er påvirket af denne specifikke sårbarhed. En indledende analyse indikerede, at angrebet primært målrettede to områder: yETH Stableswap Pool med en direkte påvirkning på omkring 8 millioner dollars, og yETH-WETH Stableswap Pool på Curve, hvor cirka 0,9 millioner dollars blev afledt.

Yearn sagde, at det hurtigt gik videre til at danne et fælles “krigsrum” med sikkerhedspartnere, herunder den hvide hat hacker-kollektiv SEAL911 og yETH revisorerne, ChainSecurity, for at gennemføre en fuldstændig post-mortem undersøgelse.

Ifølge Yearn-holdet peger foreløbige indikationer på, at dette er et særdeles sofistikeret angreb.

“Indledende analyse indikerede, at dette angreb har en lignende høj kompleksitetsgrad som det nylige Balancer-angreb, så vær venlig at have tålmodighed med os, mens vi gennemfører post-mortem analysen. Der er ikke noget andet Yearn-produkt, der bruger lignende kode som det, der blev påvirket,” bekræftede holdet og søgte at berolige brugerne af deres kernehvelve.

Læs mere: Balancer-brud knyttet til batch-swap afrundingsfejl; Undersøgelse igangværende

Holdet understregede også deres engagement i at tage sikkerhed alvorligt og lovede at integrere alle erfarede erfaringer fra hændelsen i deres fremtidige protokoludvikling. Holdet henviste enhver bruger, der blev påvirket af hændelsen, til at åbne en support-anmodning på deres Discord-kanal for assistance.

I mellemtiden, i en senere opdatering, hævdede Yearn at have genvundet 857,49 pxETH (Dinero Staked ETH) til en værdi af 2,39 millioner dollars. Genopretningen blev opnået med hjælp fra Plume- og Dinero-holdene, der er forbundet med den institutionelle likvide staking-token brugt i den berørte pool.

FAQ 💡

• Hvad skete der med Yearn Finance? En brugerdefineret yETH stableswap-pool-udnyttelse forårsagede omkring 9 millioner dollars i tab den 30. november.
• Er Yearns hovedhvelve påvirket? Yearn bekræftede, at V2 og V3 hvelve er sikre og ikke relateret til den påvirkede kontrakt.
• Hvilke pools blev målrettet? Angrebet ramte yETH Stableswap Pool (~8M$) og yETH-WETH Pool på Curve (~0,9M$).
• Hvordan reagerer Yearn? Et fælles krigsrum med SEAL911 og ChainSecurity undersøger dette meget komplekse angreb.