تم استغلال Yearn Finance من قبل yETH مع إرسال $3M إلى Tornado Cash

تتعامل Yearn Finance مع خرق أمني جديد بعد أن قام أحد المهاجمين باستغلال عقد توكن yETH وسحب ملايين من ETH وأصول تديس السيولة من برك Balancer. ملخص

• استهدفت الثغرة عقد yETH قديم، مما سمح للمهاجم بصك كمية غير محدودة من الرموز وإفراغ تجمع Balancer.
• تم نقل حوالي 1,000 ETH عبر Tornado Cash بعد الهجوم مباشرة، ولا يزال هناك المزيد من الأصول محتفظ بها عبر محافظ المهاجم.
• أكدت Yearn أن المشكلة معزولة عن خزائن V2 و V3 وهي بصدد إعداد تقرير مفصل عن الحادث.

وقعت الحادثة في وقت متأخر من 30 نوفمبر عندما قام مهاجم بتفعيل ثغرة الطباعة اللانهائية داخل عقد yETH. ثم قاموا بصك كمية هائلة من yETH، تزيد عن 235 تريليون توكن، في عملية واحدة.

باستخدام تلك الرموز، تحرك المهاجم بسرعة عبر برك بالانسور، مزيلًا الأصول الحقيقية، بما في ذلك ETH والمشتقات الشهيرة للتديس. تظهر الآثار الأولية تدفق ما يقرب من $3 مليون عبر تورنيدو كاش بعد فترة قصيرة من الاستغلال، بينما لا يزال عنوان المهاجم يحتفظ بأصول إضافية مرتبطة بالحادثة.

استغلال معزول لمنتج yETH القديم

تظهر بيانات البلوكتشين أن بركة السواب الثابتة yETH قد تم تفريغها في غضون دقائق، مما ترك فجوة تبلغ حوالي 2.8 مليون دولار. قالت Yearn Finance(YFI) إن المشكلة تكمن في تنفيذ أقدم لـ yETH ولا تؤثر على خزائن V2 أو V3 الخاصة بها. كما أفادت البروتوكولات المبنية على Yearn V3، بما في ذلك Katana، بعدم وجود أي تعرض.

نحن نحقق في حادث يتعلق بحوض تبديل stableswap الخاص بـ yETH LST.

Vaults Yearn ( كلا من V2 و V3) غير متأثرة.

— yearn (@yearnfi) 30 نوفمبر 2025

ظهرت عدة عقود مساعدة قبل لحظات من الهجوم واختفت من خلال مكالمات التدمير الذاتي بمجرد استنزاف المسبح، مما جعل من الصعب تتبع الأثر.

تقوم فرق الأمان بمراجعة المعاملات، بما في ذلك المدققين الذين يتتبعون المنتجات القديمة لـ Yearn، وقد ربطوا الحدث بضعف طويل الأمد في منطق رمز yETH، بدلاً من مشكلة في بنية خزائن Yearn الحالية.

يحتفظ البروتوكول ببرنامج مكافآت للأخطاء الحية مع جوائز تصل إلى 200,000 دولار للاكتشافات الحرجة، على الرغم من أنه لم يتم الإعلان عن أي مسار استرداد بعد.

تتزايد الحركة على السلسلة بعد استنزاف السيولة

بعد فترة وجيزة من انهيار المجموعة، أشار المستخدم X توغبو إلى عدة حركات من دفعات 100 ETH تمر عبر تورنادو كاش. تم خلط حوالي 1,000 ETH في الساعات التي تلت الاستغلال. ولا يزال المهاجم يحتفظ بأصول إضافية بقيمة عدة ملايين من الدولارات عبر محافظ متعددة.

بعض الأشياء الأخرى المتعلقة بالبالانسير تبدو وكأنها استغلال نظرًا للتفاعلات الكبيرة مع تورنادو

ييرن، روكت بول، أوريجين، دينيرو وغيرها من LST تدور حولها pic.twitter.com/wUuexeQJyg

— Togbe (@Togbe0x) 30 نوفمبر 2025

حمل حوض yETH حوالي $11 مليون قبل الاختراق، وعلى الرغم من أن رقم الخسارة النهائي لا يزال قيد المراجعة، قالت Yearn إن أموال المستخدمين داخل الصناديق النشطة تظل آمنة.

تضيف هذه الحادثة إلى السجل الطويل للبروتوكول في إدارة المخاطر القديمة، بعد سنوات من استغلال yDAI في 2021 وسوء تكوين الخزينة في 2023 الذي لم يؤثر على المودعين. انخفض YFI بنحو 4% بعد الحدث وتم تداوله بالقرب من 4,002 دولار في وقت كتابة هذا التقرير.