|
30 ноября протокол Yearn Finance подвергся атаке: злоумышленники нашли уязвимость в контракте yETH и вывели около $9 млн. В этой статье — подробный разбор хода событий, ущерба и последствий для индустрии.
Хронология происшествия
- Обнаружена подозрительная активность, позже подтверждённая PeckShield.
- Yearn подтвердил уязвимость в кастомном контракте yETH.
- Хакеры создали чрезмерное количество токенов и вывели около 1000 ETH (~$3 млн) за одну транзакцию.
- Часть средств была отправлена в Tornado Cash.
Причина уязвимости
Проблема возникла в кастомной версии контракта stableswap. Основные версии Yearn (V2/V3) не пострадали, но модификация кода привела к серьёзным последствиям.
Размер ущерба
- Около $8 млн — ущерб в поражённом пуле stableswap
- Около $0,9 млн — в пуле Curve yETH–WETH
- Суммарно: примерно $9 млн
Как действовали злоумышленники
Атакующие смогли манипулировать логикой контракта и фактически создать лишние токены. После вывода средств они использовали Tornado Cash для скрытия следов.
Реакция рынка: YFI и TVL
Токен YFI упал примерно на 5,5%. Цена на момент публикации находилась около $3 900. TVL Yearn за сутки снизился с $432 млн до $410 млн — пользователи вывели часть ликвидности.
История предыдущих инцидентов Yearn
- 2021: взлом пула yDAI — ущерб $2,8 млн, компенсирован пользователям.
- 2023: ошибка мультисиг-скрипта привела к потере 63% средств казначейства в yCRV.
Выводы и уроки
- Использование проверённых контрактов снижает риск инцидентов.
- Нельзя хранить крупные суммы в одиночных пулах без диверсификации.
- Проекты должны готовить планы реагирования на инциденты.
- Прозрачная коммуникация снижает рыночную панику.
Что делает Yearn сейчас
Команда проводит расследование, готовит детальный отчёт и работает над снижением рисков для пользователей незатронутых продуктов.
Памятка пользователям
- Следить за официальными каналами Yearn Finance.
- Проверить свои позиции и уровень риска.
- Ждать официального отчёта, избегать паники.
Случай с Yearn Finance показывает, что кастомные модификации смарт-контрактов могут приводить к критическим ошибкам. В индустрии DeFi важно помнить о рисках, а проектам — уделять максимум внимания аудиту и тестированию.
Материал основан на открытых источниках: Yearn Finance, PeckShield, TradingView, DefiLlama.
| 
