Yearn відновлює 2,4 мільйона доларів викрадених активів через баг «неперевіреної арифметики»
Швидкий огляд: OG DeFi протокол Yearn Finance втратив близько 9 мільйонів доларів унаслідок експлойту в неділю, коли зловмисник зміг створити майже необмежену кількість токенів yETH і спустошити пул Yearn Ether stableswap. Команда заявила, що місія з відновлення триває, і що їхні протоколи V2 та V3 не перебувають під загрозою.
Команда Yearn Finance повернула приблизно 2,4 мільйона доларів США вкрадених активів після останньої атаки на застарілий DeFi-протокол, тоді як загальні оцінені втрати наближаються до 9 мільйонів доларів, згідно з оновленням у понеділок. Скоординована місія з відновлення “активна та триває”, йдеться у дописі на X.
У неділю вразливість у колись популярному протоколі yield-farming була використана для виведення активів з пулу Yearn Ether (yETH) stableswap та меншого пулу yETH‑WETH на Curve. Це вже третя атака на Yearn з 2021 року, і вона, за словами Yearn, була “подібної високої складності” до нещодавнього злому Balancer.
Згідно з опублікованим у понеділок постмортемом, “корінна причина” полягає у “неперевіреній арифметиці” та інших “дизайнерських недоліках”, які дозволили зловмиснику створити 2.3544x10^56 токенів yETH — майже нескінченну кількість — і використати їх для виведення ліквідності з протоколу.
“Фактичні транзакції експлойту відбуваються за такою схемою: після величезної емісії йде серія виведень, які переводять реальні активи до зловмисника, тоді як загальна пропозиція токенів yETH фактично не має значення”, йдеться у постмортемі.
Yearn зазначає, що атака була цілеспрямованою і не повинна вплинути на їхні сховища V2 або V3. “Будь-які успішно повернуті активи будуть повернуті постраждалим вкладникам”, додала команда.
Як раніше повідомляв The Block, зловмисник зміг перевести щонайменше 1 000 ETH і декілька токенів ліквідного стейкінгу до анонімізатора Tornado Cash. Yearn разом із криптобезпековими компаніями SEAL 911 та ChainSecurity співпрацювали з Plume network для повернення 857,49 pxETH на момент публікації.
BlockScout повідомив, що хакер розгорнув самознищувальні “helper contracts” у рамках атаки. Ці вставки коду — це спеціалізовані допоміжні смарт-контракти, які використовуються для виконання автоматизованих завдань і часто зловживаються під час flash loan атак, що потребують кількох кроків у межах однієї транзакції.
Зловмисник, наприклад, використав допоміжний контракт для маніпуляції вразливою функцією yETH, емісії абсурдної кількості токенів і виведення коштів із протоколу, після чого знищив контракт. “Self-destruct видаляє байткод, роблячи контракт непридатним для читання надалі, але транзакції створення та логи зберігаються”, повідомив Blockscout.
"Початковий аналіз показав, що цей злом має подібний рівень складності до нещодавнього злому Balancer, тому просимо зачекати, поки ми проведемо постмортем-аналіз," заявили в Yearn у неділю. "Жоден інший продукт Yearn не використовує подібний код до того, що був скомпрометований."
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
Warner об'єднала фінансову звітність та переформатувала результати! Голлівудський супергігант Skydance (SKYD.US): основний дохід від стрімінгу у третьому кварталі зріс на 21%, а об'єднаний дохід за перше півріччя подвоївся
На початку жовтня Skydance завершила при дбання Warner Bros Discovery (WBD) за величезну суму у 110 млрд доларів, після чого новостворена компанія офіційно отримала назву «Skydance», що означає народження нового голлівудського гіганта.
Дохід у третьому кварталі зріс майже вдвічі! AST SpaceMobile (ASTS.US) прискорює запуск у космос: до середини 2027 року на орбіті буде 45 супутників
Компанія широкосмугового зв’язку через супутник AST SpaceMobile (ASTS.US) у третьому кварталі 2026 року зафіксувала майже дворазове зростання доходів у порівнянні з аналогічним періодом минулого року та інтенсивно розкрила значні досягнення, що охоплюють весь ланцюг від виробництва, запуску, фінансування до комерціалізації.
Завдяки прибутку на балансі від bitcoin: MARA (MARA.US) у третьому кварталі отримала чистий прибуток 632 млн доларів, але виручка впала на 35% і досягла найнижчого рівня за дев’ять кварталів.
Біткоїн-майнінгова компанія MARA Holdings (MARA.US) оприлюднила фінансовий звіт за третій квартал 2026 року. У цьому звіті відображена рідкісна картина розколу: стрімке зростання прибутку на папері, водночас із постійним скороченням операційного доходу — компанія перебуває на ключовому етапі переходу від «майнінгу біткоїна» до «AI-інфраструктури».
Голови місцевих підрозділів Федеральної Резервної системи «співають як яструби»! Гулсбі попереджає, що інвестиційний бум у AI може призвести до перегріву економіки, Баркін підтримує подальше підвищення процентних ставок
Двоє посадовців Федеральної резервної системи у понеділок висловили свої думки щодо перспектив економіки США та монетарної політики, обидва висловили занепокоєння з приводу стійко високої інфляції.
Ціни на криптовалюти
Більше
