Yearn Finance kärsi 9 miljoonan dollarin DeFi-hyökkäyksestä, palautti 2.39 miljoonaa dollaria pxETH

Vaikutusarviointi ja rajoittaminen

Yearn Finance, hajautetun rahoituksen (DeFi) tuottoagregaattori, on vahvistanut turvallisuusongelman, johon liittyi mukautettu yETH stableswap -pooli ja joka aiheutti yhteensä noin 9 miljoonan dollarin tappiot. Hyökkäys, joka tapahtui 30. marraskuuta kello 16:11 EST, sisälsi suuren määrän yETH:tä luvattoman liikkeeseenlaskun. Yearn korosti, että vahingoittunut sopimus on suosittujen stableswap-koodien mukautettu versio eikä liity millään tavalla muihin Yearnin tuotteisiin.

Päivityksessä, joka jaettiin X:ssä, protokolla vahvisti, että pääasialliset Yearn V2- ja V3-holvit eivät ole vaikuttaneet tähän nimenomaiseen haavoittuvuuteen. Alkuanalyysi osoitti, että hyökkäys kohdistui pääasiassa kahteen alueeseen: yETH Stableswap Pooliin, jolla oli noin 8 miljoonan dollarin suora vaikutus, ja yETH-WETH Stableswap Pooliin Curvella, josta noin 0,9 miljoonaa dollaria siirrettiin.

Yearn kertoi toimineensa nopeasti muodostaakseen yhteisen “sotahuoneen” turvallisuuskumppaneiden, mukaan lukien valkohattu hakkeriryhmä SEAL911 ja yETH-auditointikumppani ChainSecurity, kanssa toteuttamaan täydellisen jälkianalyysin.

Yearnin tiimin mukaan alustavat viitteet osoittavat tämän olevan erittäin kehittynyt hyökkäys.

“Alkuanalyysi osoitti, että tämä hakkerointi on samankaltaisen korkean monimutkaisuuden tasoinen kuin hiljattain tapahtunut Balancer-hakkerointi, joten pyydämme kärsivällisyyttä, kun suoritamme jälkianalyysiä. Mikään muu Yearnin tuote ei käytä koodia, joka olisi samanlainen kuin mikä vaurioitui”, tiimi vahvisti, pyrkien vakuuttamaan käyttäjiä keskeisten holviensa turvallisuudesta.

Lue lisää: Balancer-hyökkäys liittyy erien vaihdon pyöristysvirheeseen; Tutkinta käynnissä

Tiimi korosti myös sitoutumistaan turvallisuuden vakavasti ottamiseen ja lupasi integroida kaikki tapauksen opit tulevaan protokollakehitykseensä. Tiimi ohjasi kaikki tapahtumasta kärsineet käyttäjät avaamaan tukipyynnön Discord-kanavallaan saadakseen apua.

Myöhemmin päivityksessä Yearn väitti saaneensa takaisin 857,49 pxETH:tä (Dinero Staked ETH), jonka arvo on 2,39 miljoonaa dollaria. Takaisinperintä saatiin aikaan yhteistyössä Plume- ja Dinerotiimien kanssa, jotka liittyvät kohdepulissa käytettyyn institutionaaliseen likvidisijoitustokeneenseen.

UKK 💡

• Mitä tapahtui Yearn Financelle? Mukautettu yETH stableswap -poolin hyökkäys aiheutti noin 9 miljoonan dollarin tappiot 30. marraskuuta.
• Vaikuttavatko Yearnin pääholvit? Yearn vahvisti, että V2- ja V3-holvit ovat turvassa eikä niillä ole yhteyttä vahingoittuneeseen sopimukseen.
• Mitä pooleja hyökättiin? Hyökkäys kohdistui yETH Stableswap Pooliin (~$8M) ja yETH-WETH Pooliin Curvella (~$0.9M).
• Miten Yearn reagoi? Yhteinen sotahuone SEAL911:n ja ChainSecurityn kanssa tutkii tätä erittäin monimutkaista hakkerointia.