Yearn Finance пострадал от новой эксплуатации, когда злоумышленник выпустил триллионы yETH Токенов

Источник: DefiPlanet Оригинальное название: Yearn Finance подвергся новому взлому, когда злоумышленник отчеканил триллионы токенов yETH Оригинальная ссылка:

Быстрый обзор

• Атакующий использовал устаревший контракт yETH для создания более 235 триллионов токенов и опустошения пулов Balancer.
• По крайней мере, $3M прошло через Tornado Cash, и еще больше средств связано с кошельками атакующего.
• Yearn сообщает, что его хранилища V2 и V3 остаются безопасными, что ограничивает влияние устаревшей инфраструктуры.

Атака бесконечного мата выкачивает миллионы из пулов балансировщика

Yearn Finance сталкивается с новой утечкой безопасности после того, как злоумышленник использовал давнюю уязвимость в своем контракте токена yETH. Поздно вечером 30 ноября эксплуататор активировал уязвимость бесконечного чеканки, которая позволила ему сгенерировать более 235 триллионов токенов yETH за одну транзакцию, количество, значительно превышающее то, что должно существовать.

Мы расследуем инцидент, связанный с пулом yETH LST стейблсвап.

Yearn Vaults ( оба V2 и V3) не затронуты.

Вооруженный этой огромной партией токенов, злоумышленник быстро исчерпал пулы Balancer, содержащие реальные активы, включая ETH и основные производные ликвидного стекинга. Пул yETH стейблсвап был опустошен за считанные минуты, что привело к оценочному дефициту в $2.8 миллиона.

Инцидент ограничен старым продуктом yETH, а не современными хранилищами

Yearn Finance подтвердила, что проблема возникла из-за устаревшей версии ее логики yETH, отметив, что недостаток не затрагивает ее хранилища V2 или V3. Протоколы, построенные на Yearn V3, такие как Katana, также сообщили о нулевой подверженности.

Аналитики по безопасности отметили, что группа вспомогательных контрактов появилась на короткое время перед атакой и самоуничтожилась, как только пулы были опустошены, что является уклончивой тактикой, часто используемой для размытия следов в цепочке. Ранние отзывы предполагают, что уязвимость возникла из известной проблемы с чеканкой в наследственном контракте, а не в текущей архитектуре Yearn.

Протокол поддерживает активную программу вознаграждений за обнаруженные уязвимости, предлагая до 200 000 долларов за критические находки, хотя план восстановления не был объявлен.

Средства, проходящие через Tornado Cash на фоне продолжающегося движения

Ончейн-наблюдатели, включая исследователя Тогбо, сообщили, что злоумышленник переместил ETH партиями по 100 через Tornado Cash сразу после эксплуатации. Примерно 1,000 ETH было замешано в течение нескольких часов, в то время как дополнительные активы на несколько миллионов долларов остаются в кошельках злоумышленника.

Пул yETH держал около $11 миллионов до нарушения. Yearn повторила, что средства пользователей в активных хранилищах в безопасности, даже несмотря на то, что окончательные данные о потерях все еще подсчитываются.

Инцидент добавляет к истории Yearn по управлению наследственными рисками, после эксплуатации yDAI в 2021 году и неправильной конфигурации казначейства в 2023 году.