تم استغلال حوض Yearn Finance yETH: $3 مليون في ETH تم غسلها من خلال Tornado Cash

أكد بروتوكول الزراعة اليويلية Yearn Finance حدوث استغلال في منتجه yETH في 30 نوفمبر 2025، حيث قام مهاجم بسك كمية غير محدودة من رموز yETH واستنزاف حوالي $3 مليون من الأصول من مجمعات السيولة المتصلة. تم غسل الأموال المسروقة، التي تقدر بحوالي 1000 ETH، من خلال الخلاط الخاص Tornado Cash، وفقًا لتحليل داخل السلسلة.

تفاصيل الحادث

استهدف الهجوم تنفيذًا قديمًا لمجمع yETH stableswap على Balancer، مما سمح للمستغل بإنشاء عدد شبه لانهائي من رموز yETH في معاملة واحدة. وهذا مكن المهاجم من سحب أصول حقيقية، بما في ذلك ETH والمشتقات السائلة الشائعة، مما ترك فجوة تبلغ حوالي $2.8 مليون في المجمع. أفادت Yearn Finance بالحادثة على X، قائلة: “نحن نحقق في حادث يتعلق بمجمع yETH LST stableswap. خزائن Yearn ( كلا من V2 و V3) غير متأثرة.”

تظهر مستكشفات البلوكشين أن الاستغلال شمل عقود ذكية تم نشرها حديثًا والتي دمرت نفسها بعد التنفيذ، مما أخفى الأثر. ثم قام المهاجم بتجزئة 1,000 ETH إلى دفعات أصغر ومررها عبر Tornado Cash، بروتوكول معاقب معروف بإخفاء تاريخ المعاملات.

رد ييرن ونطاقه

أكدت Yearn أن الثغرة كانت معزولة في عقد yETH التجريبي ولم تؤثر على خزائن V2 أو V3 الأساسية، التي تدير أكثر من $500 مليون من الأصول. يحتفظ البروتوكول ببرنامج مكافآت للثغرات الحية مع مكافآت تصل إلى $200,000 لاكتشافات حرجة، على الرغم من أنه لم يتم الإعلان عن أي مسار استرداد فوري. تقرير مفصل قادم حيث تواصل الفريق تحقيقه.

نسبت الشركات الأمنية التي تتابع الحدث، بما في ذلك المدققون الذين يراجعون منتجات Yearn القديمة، الاختراق إلى ضعف قديم في منطق توكن yETH بدلاً من عيب في بنية الخزنة الحالية.

السياق الأوسع في أمان DeFi

هذا الاستغلال هو جزء من شهر صعب بالنسبة لـ DeFi، حيث فقد القطاع حوالي $127 مليون بسبب الاختراقات، والاحتيالات، والثغرات في نوفمبر 2025، وفقًا لبيانات CertiK. ويبرز المخاطر المستمرة في تنفيذات العقود الذكية القديمة، حتى بالنسبة للبروتوكولات الراسخة مثل Yearn، وأهمية إهمال الشيفرة القديمة.

لقد أثنى المجتمع على التواصل الشفاف لـ Yearn وعزل المشكلة، مما منع كارثة على نطاق أوسع. وتعمل الحادثة كتذكير للمستخدمين بضرورة متابعة تحديثات البروتوكول وتجنب المنتجات التجريبية التي تحتوي على ثغرات غير مصححة.

باختصار، استغل هجوم Yearn yETH $3 مليون في الأصول، حيث قام المهاجم بسك رموز غير محدودة وغسل الأموال عبر Tornado Cash. أكدت Yearn أن المشكلة محصورة في عقد قديم، دون تأثير على خزائن النواة، وهي تحقق في الأمر بشكل أكبر بينما تحافظ على برنامج مكافآت الأخطاء.