ru.cointelegraph.com
30 ноября протокол Yearn Finance подвергся атаке, в результате которой злоумышленник похитил $9 млн через уязвимость бесконечной эмиссии токена yETH.
Механика атаки
Хакер использовал уязвимость в кастомной версии stableswap-кода, чтобы создать примерно 235 трлн yETH в одной транзакции. Полученные токены киберпреступник использовал для вывода реальных активов из пулов ликвидности Balancer.
Сразу после атаки он отправил 1000 ETH (около $3 млн) в миксер Tornado Cash. Вспомогательные контракты, использованные в атаке, были развернуты за несколько минут до инцидента и самоуничтожились после него.
По теме: крупнейшую криптобиржу Южной Кореи Upbit взломали. Ущерб составил $36,9 млн
Yearn Finance подтвердила общие потери в размере $9 млн:
-
$8 млн из stableswap-пула:
-
$0,9 млн из пула yETH-WETH на Curve.
Протокол начал расследование при поддержке SEAL 911 и ChainSecurity. Аналитики отметили высокую сложность атаки.
По теме: ущерб от взлома фронтенда DEX Aerodrome в сети Base составил $700 000
Безопасность основных продуктов
Команда подчеркнула, что основные продукты не пострадали:
-
Vaults V2 и V3 остаются безопасными;
-
общая стоимость заблокированных средств (TVL) осталась на уровне $600 млн;
-
ни один другой продукт Yearn не использует аналогичный код.
Это не первый подобный инцидент в истории протокола. В 2021 году взлом yDAI vault привел к потере $11 млн. В декабре 2023 года ошибочный скрипт удалил 63% одной из казначейских позиций, но средства пользователей не пострадали.
Yearn Finance продолжает работу в штатном режиме. Команда обещает опубликовать подробное разъяснение после завершения расследования. Пользователи могут продолжать использовать Vaults V2 и V3 без ограничений.
Общая картина
В PeckShield Alert также проанализировали все случаи взломов криптопроектов в этом ноябре. По данным аналитиков, за последний месяц осени на рынке произошло около 15 крупных хакерских атак. В общей сложности злоумышленники заработали не менее $194,27 млн.
Для сравнения: в октябре 2025 года ущерб составил только $18,18 млн. За месяц потери выросли на 969%.
По теме: Виталик Бутерин назвал сроки квантового взлома Ethereum