Yearn Finance touché par une exploitation DeFi de 9 millions de dollars, récupère 2,39 millions de dollars pxETH

Évaluation de l’impact et confinement

Yearn Finance, l’agrégateur de rendement de la finance décentralisée (DeFi), a confirmé un incident de sécurité impliquant un pool stableswap yETH personnalisé qui a entraîné environ 9 millions de dollars de pertes totales. L’exploitation, survenue à 16h11 EST le 30 novembre, impliquait la frappe non autorisée d’une grande quantité de yETH. De manière cruciale, Yearn a déclaré que le contrat impacté est une version personnalisée du code stableswap populaire et n’est absolument pas lié à d’autres produits Yearn.

Dans une mise à jour partagée sur X, le protocole a confirmé que les coffres principaux Yearn V2 et V3 ne sont pas affectés par cette vulnérabilité spécifique. Une analyse initiale a indiqué que l’attaque visait principalement deux zones : le Pool Stableswap yETH, avec un impact direct d’environ 8 millions de dollars, et le Pool Stableswap yETH-WETH sur Curve, où environ 0,9 million de dollars ont été siphonnés.

Yearn a déclaré avoir rapidement formé une “salle de guerre” conjointe avec des partenaires de sécurité, y compris le collectif de piratage éthique SEAL911 et le partenaire d’audit yETH, ChainSecurity, pour mener une enquête post-mortem complète.

Selon l’équipe de Yearn, les indications préliminaires suggèrent qu’il s’agit d’une attaque hautement sophistiquée.

« Une analyse initiale a indiqué que ce piratage a un niveau de complexité similaire au récent piratage de Balancer, alors merci de patienter pendant que nous effectuons l’analyse post-mortem. Il n’y a aucun autre produit Yearn utilisant un code similaire à celui qui a été impacté », a affirmé l’équipe, cherchant à rassurer les utilisateurs de ses coffres principaux.

Lire la suite : Violation de Balancer liée à un bug d’arrondi de swap par lot ; Enquête en cours

L’équipe a également souligné son engagement à prendre la sécurité au sérieux et a promis d’intégrer toutes les leçons tirées de l’incident dans ses futurs développements de protocoles. L’équipe a dirigé tous les utilisateurs affectés par l’événement à ouvrir un ticket de support sur son canal Discord pour obtenir de l’aide.

Pendant ce temps, dans une mise à jour ultérieure, Yearn a affirmé avoir récupéré 857,49 pxETH (Dinero Staked ETH) d’une valeur de 2,39 millions de dollars. La récupération a été réalisée avec l’assistance des équipes Plume et Dinero, qui sont associées au jeton de staking liquide institutionnel utilisé dans le pool affecté.

FAQ 💡

• Qu’est-il arrivé à Yearn Finance ? Une exploitation du pool stableswap yETH personnalisé a causé environ 9 millions de dollars de pertes le 30 novembre.
• Les coffres principaux de Yearn sont-ils affectés ? Yearn a confirmé que les coffres V2 et V3 sont en sécurité et sans rapport avec le contrat impacté.
• Quels pools ont été ciblés ? L’attaque a frappé le Pool Stableswap yETH (~8M$) et le Pool yETH-WETH sur Curve (~0,9M$).
• Comment Yearn réagit-il ? Une salle de guerre conjointe avec SEAL911 et ChainSecurity enquête sur ce piratage hautement complexe.