Взлом Yearn Finance на $9 млн.

30 ноября протокол Yearn Finance подвергся атаке: злоумышленники нашли уязвимость в контракте yETH и вывели около $9 млн. В этой статье — подробный разбор хода событий, ущерба и последствий для индустрии.

Хронология происшествия

• Обнаружена подозрительная активность, позже подтверждённая PeckShield.


• Yearn подтвердил уязвимость в кастомном контракте yETH.


• Хакеры создали чрезмерное количество токенов и вывели около 1000 ETH (~$3 млн) за одну транзакцию.


• Часть средств была отправлена в Tornado Cash.

Причина уязвимости

Проблема возникла в кастомной версии контракта stableswap. Основные версии Yearn (V2/V3) не пострадали, но модификация кода привела к серьёзным последствиям.

Размер ущерба

• Около $8 млн — ущерб в поражённом пуле stableswap
• Около $0,9 млн — в пуле Curve yETH–WETH
• Суммарно: примерно $9 млн

Как действовали злоумышленники

Атакующие смогли манипулировать логикой контракта и фактически создать лишние токены. После вывода средств они использовали Tornado Cash для скрытия следов.

Реакция рынка: YFI и TVL

Токен YFI упал примерно на 5,5%. Цена на момент публикации находилась около $3 900. TVL Yearn за сутки снизился с $432 млн до $410 млн — пользователи вывели часть ликвидности.

История предыдущих инцидентов Yearn

• 2021: взлом пула yDAI — ущерб $2,8 млн, компенсирован пользователям.


• 2023: ошибка мультисиг-скрипта привела к потере 63% средств казначейства в yCRV.

Выводы и уроки

• Использование проверённых контрактов снижает риск инцидентов.


• Нельзя хранить крупные суммы в одиночных пулах без диверсификации.


• Проекты должны готовить планы реагирования на инциденты.


• Прозрачная коммуникация снижает рыночную панику.

Что делает Yearn сейчас

Команда проводит расследование, готовит детальный отчёт и работает над снижением рисков для пользователей незатронутых продуктов.

Памятка пользователям

• Следить за официальными каналами Yearn Finance.


• Проверить свои позиции и уровень риска.


• Ждать официального отчёта, избегать паники.

Случай с Yearn Finance показывает, что кастомные модификации смарт-контрактов могут приводить к критическим ошибкам. В индустрии DeFi важно помнить о рисках, а проектам — уделять максимум внимания аудиту и тестированию.

Материал основан на открытых источниках: Yearn Finance, PeckShield, TradingView, DefiLlama.