Yearn Finance Xác nhận thiệt hại $9 triệu sau sự cố đúc YETH trái phép

Một kẻ tấn công đã khai thác một hợp đồng yETH cũ và rút gần $9 triệu từ hai nhóm thanh khoản.

Khoảng $3 triệu ETH bị đánh cắp đã được chuyển qua Tornado Cash, trong khi $6 triệu vẫn còn trong ví của kẻ tấn công.

Yearn Finance xác nhận vấn đề chỉ ảnh hưởng đến sản phẩm cũ khi các cuộc điều tra tiếp tục mà không có kế hoạch phục hồi nào được công bố.

Yearn Finance đã báo cáo một sự cố bảo mật lớn sau khi một kẻ tấn công đã truy cập vào một nhóm tùy chỉnh và tạo ra một khối lượng không giới hạn các token yETH. Sự kiện này đã gây ra thiệt hại gần $9 triệu và đã thúc đẩy các nỗ lực điều tra ngay lập tức. Nền tảng này cho biết vấn đề liên quan đến một sản phẩm cũ và không ảnh hưởng đến các kho tài sản đang hoạt động. Việc vi phạm đã kích hoạt sự kiểm tra mới trong toàn bộ lĩnh vực tài chính phi tập trung khi các nhà điều tra theo dõi chuyển động của các tài sản bị đánh cắp.

Việc tạo token trái phép cho phép rút tài sản lớn

Sự kiện xảy ra vào ngày 30 tháng 11 lúc 21:11 UTC khi một kẻ tấn công nhắm đến một hợp đồng liên quan đến token yETH của Yearn. Các nhà điều tra cho biết hợp đồng này sử dụng một thiết kế độc đáo khác với các đề xuất chính của nền tảng. Thiết kế này đã tạo ra một lỗ hổng cho phép kẻ tấn công tạo ra các token yETH vượt quá giới hạn dự định. Việc mint quá mức sau đó đã cho phép rút tiền trực tiếp từ các nhóm thanh khoản liên kết.

Kẻ tấn công đã rút khoảng $8 triệu từ một nhóm thanh khoản stableswap chính. Thêm vào đó, kẻ tấn công đã rút khoảng 0,9 triệu đô la từ một nhóm yETH-WETH được tổ chức trên Curve. Tổng thiệt hại đạt gần $9 triệu. Sự cố xảy ra trong một lần thực hiện duy nhất, mà các nhà điều tra mô tả là một cuộc rút nhanh chóng nguồn thanh khoản có sẵn.

Việc di chuyển quỹ qua Tornado Cash theo sau cuộc tấn công

Ngay sau khi các giao dịch rút tiền trái phép diễn ra, các nhóm theo dõi đã quan sát thấy kẻ tấn công chuyển một phần của số tiền bị đánh cắp. Các nhà phân tích tại PeckShieldAlert báo cáo rằng kẻ tấn công đã di chuyển khoảng 1,000 ETH, trị giá khoảng $3 triệu, qua Tornado Cash. Dịch vụ này thường cho phép ẩn danh giao dịch, điều này hạn chế khả năng nhìn thấy vào các điểm đến tiếp theo.

Kẻ tấn công đã giữ quyền kiểm soát các tài sản còn lại. Hồ sơ ví cho thấy khoảng $6 triệu trong các token khác nhau vẫn được nắm giữ bởi địa chỉ được xác định là 0xa80d…c822. Những khoản nắm giữ này bao gồm một số sản phẩm phái sinh Ethereum đã được đặt cọc trong quá trình rút ban đầu.

Đội ngũ Yearn Finance Phản hồi Trong khi Cuộc điều tra Tiếp diễn

Yearn Finance cho biết rằng sự cố chỉ ảnh hưởng đến sản phẩm yETH cổ điển. Nhóm đã báo cáo rằng các vault đang hoạt động và vị trí người dùng không gặp phải rủi ro. Các đối tác bảo mật và nhóm kiểm toán hiện đang xem xét sự cố để xác định điều gì đã cho phép sự yếu kém trong hợp đồng và cách mà việc mint trái phép đã xảy ra. Yearn Finance chưa công bố bất kỳ quy trình phục hồi tài sản nào. Các nhà điều tra tiếp tục ghi lại sự di chuyển của quỹ và phân tích hợp đồng đã bị xâm phạm. Dữ liệu thị trường cho thấy token quản trị YFI giao dịch gần $3,956 sau sự cố và ghi nhận mức giảm khoảng 4.4%.