Yearn recupera US$ 2,4 milhões em ativos roubados devido a bug de 'aritmética não verificada'
O protocolo OG DeFi Yearn Finance perdeu cerca de US$ 9 milhões em um exploit no domingo, depois que um invasor conseguiu criar uma quantidade quase infinita de tokens yETH e esgotou um pool de stableswap Ether da Yearn. A equipe afirmou que uma missão de recuperação está em andamento e que seus protocolos V2 e V3 não estão em risco.
A equipe da Yearn Finance recuperou aproximadamente US$ 2,4 milhões em ativos roubados do mais recente exploit do protocolo DeFi legado, enquanto as perdas totais estimadas se aproximam de US$ 9 milhões, de acordo com uma atualização feita na segunda-feira. Uma missão coordenada de recuperação está “ativa e em andamento”, conforme publicado em uma postagem no X.
No domingo, uma vulnerabilidade no outrora popular protocolo de yield-farming foi explorada para drenar ativos do pool stableswap Yearn Ether (yETH) e de um pool menor yETH‑WETH na Curve. O ataque, o terceiro direcionado à Yearn desde 2021, teve uma “complexidade igualmente alta” ao recente hack da Balancer, segundo a Yearn.
De acordo com um post-mortem publicado na segunda-feira, a “causa raiz” decorre de um bug de “aritmética não verificada” e outros “problemas de design contribuintes” que permitiram ao invasor cunhar 2,3544x10^56 tokens yETH — uma quantidade quase infinita — usados para drenar a liquidez do protocolo.
“As transações reais do exploit seguem este padrão: a grande cunhagem é seguida por uma sequência de saques que transferem ativos reais para o invasor, enquanto o fornecimento de tokens yETH é efetivamente sem significado”, segundo o post-mortem.
A Yearn observa que o ataque foi direcionado e não deve impactar seus cofres V2 ou V3. “Quaisquer ativos recuperados com sucesso serão devolvidos aos depositantes afetados”, acrescentou a equipe.
Como reportado anteriormente pelo The Block, o invasor conseguiu mover pelo menos 1.000 ETH e vários tokens de staking líquido para o anonimador Tornado Cash. A Yearn, juntamente com as empresas de segurança cripto SEAL 911 e ChainSecurity, trabalhou com a rede Plume para recuperar 857,49 pxETH até o momento da publicação.
A BlockScout afirmou que o hacker implantou “contratos auxiliares” autodestrutivos como parte do ataque. Esses códigos são contratos inteligentes auxiliares especializados usados para executar tarefas automatizadas, e frequentemente abusados durante ataques de flash loan que exigem múltiplos passos em uma única transação.
O invasor, por exemplo, usou um contrato auxiliar para manipular a função vulnerável yETH, cunhar uma quantidade absurda de tokens e drenar o protocolo, antes de se autodestruir. “A autodestruição remove o bytecode, tornando o contrato ilegível posteriormente, mas as transações de criação e logs são preservados”, disse a BlockScout.
“A análise inicial indicou que este hack tem um nível de complexidade semelhante ao recente hack da Balancer, então pedimos paciência enquanto realizamos a análise post-mortem”, disse a Yearn no domingo. “Não há outro produto da Yearn usando código semelhante ao que foi impactado.”
Aviso Legal: o conteúdo deste artigo reflete exclusivamente a opinião do autor e não representa a plataforma. Este artigo não deve servir como referência para a tomada de decisões de investimento.
Talvez também goste
Anthropic inicia roadshow já nesta terça-feira; oferta pública de ações (IPO) enfrentará grande prova de precificação após onda de vendas em IA
Se a roadshow correr bem, espera-se que a Anthropic conclua a definição de preços e faça sua estreia na Nasdaq durante a semana de 16 de novembro, antes do feriado de Ação de Graças nos EUA. Na última sexta-feira, após a forte queda das ações de IA, alguns investidores potenciais passaram a discutir uma avaliação para a Anthropic em torno de 1,2 a 1,3 trilhão de dólares, com alguns até considerando 1,1 trilhão — valor bem abaixo dos cerca de 2 trilhões discutidos no mercado anteriormente.
Diante de altas taxas de juros, o dilema na escolha de ativos nos Estados Unidos
Regulação mais rígida dos centros de dados nos Estados Unidos impacta as ações de infraestrutura de IA? Morgan Stanley: impacto limitado até 2027, riscos mais concentrados em 2028
O Morgan Stanley acredita que a venda de ações de infraestrutura de IA provocada pelas elei ções de meio de mandato nos Estados Unidos pode ser uma reação exagerada. O risco de expansão de centros de dados até 2027 é limitado, a demanda por poder computacional de IA permanece forte e algumas ações de tecnologia já mostram oportunidades de investimento, com a Microsoft sendo ainda a principal escolha.
Goldman Sachs identifica linha de tendência crítica, última barreira da Nasdaq está em risco
O índice Nasdaq 100 está em queda por quatro semanas consecutivas, atualmente testando com precisão a linha de tendência crítica que conecta os pontos baixos de 2025 e 2026 (26.630 pontos). Apesar dos fortes resultados do terceiro trimestre, a alta aversão ao risco no mercado e o aumento dos indicadores de pânico fazem com que os investidores passem a absorver expectativas de desaceleração potencial em 2028, levando ao contínuo declínio dos preços das ações. Com a saída maciça de capital estrangeiro e a forte divergência nos valuations, o mercado aguarda os testes do CPI desta semana e dos relatórios financeiros das gigantes de chips.
Preços de criptomoedas
Mais
