自选
我的自选
查看全部
市值 价格 24h%
  • 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

Yearn Finance成功追回240万美元,此前yETH池遭黑客攻击损失900万美元

2025-12-03 06:58:03
收藏

最新Yearn Finance攻击事件回顾

Yearn Finance正全力追回在周日重大攻击中损失的资产,此次事件导致其传统yETH资金池损失约900万美元。攻击者利用旧版合约漏洞铸造了近乎无限量的yETH代币,随后通过Curve上的稳定币兑换池及小型yETH-WETH池套取真实流动性。Yearn确认目前已追回约240万美元资产,与外部安全团队的协同追缴仍在进行中。该协议重申其V2与V3产品未受本次攻击影响。据团队透露,这是Yearn自2021年以来第三次遭遇攻击,其复杂程度与近期Balancer攻击事件相当。

投资者启示

传统DeFi合约仍是链上金融体系最薄弱的环节之一。尽管Yearn的新产品未受影响,但过时的资金池仍可能成为高精度攻击的目标。

攻击原理分析

周一发布的事后分析报告揭示了攻击背后的技术漏洞:yETH资金池的铸造逻辑存在"未校验算术"缺陷,结合其他设计问题使得攻击者能够通过操纵脆弱函数创造天文数字级的yETH代币供应。报告清晰描述了攻击链条:"实际攻击交易遵循以下模式:巨额铸造完成后,通过一系列提款操作将真实资产转移至攻击者地址,而此时yETH代币供应量已失去实际意义。"

本次攻击涉及批量操作与辅助合约——这些专为多步攻击设计的临时智能合约在执行后自毁,虽在创建日志中留有痕迹却无法读取。攻击者部署的辅助合约在自毁前完成了铸造操控。据区块链数据显示,攻击得手后攻击者还通过 Tornado Cash 转移了至少1000枚ETH及若干流动质押代币。

当前追回进展

Yearn周日声明追回行动"正在积极进行"。通过与多家安全团队合作,目前已追回857.49枚pxETH。其余资产仍在多链及匿名路径中流转。团队强调本次攻击仅针对历史合约,"其他Yearn产品均未使用类似受影响代码",并承诺成功追回的所有资产将返还受影响的存款人。

投资者启示

本次追缴行动表明跨团队事件响应已成为DeFi领域的关键能力。白帽协作网络与链级监控技术正日益决定资产追回成效。

V2与V3产品安全机制解析

Yearn强调本次攻击仅影响旧版yETH资金池。构成当前生态核心的V2与V3保险库采用不同代码架构,因此未受影响。但该事件暴露出DeFi生态中仍存在大量闲置或维护不足的历史合约持有用户资产。作为早期领先的收益聚合器,Yearn虽已将流动性转移至新保险库,但部分旧策略仍在链上运行。周日遭攻击的yETH资金池正是此类DeFi早期遗存——尽管年代久远却仍持有可观价值。

事件发生后Yearn提醒用户调查需要时间:"初步分析显示本次攻击与近期Balancer事件具有类似的高复杂性,请耐心等待我们完成事后分析。"当前核心问题在于能追回多少被盗资金,以及协议能否快速补偿存款人。此事也引发整个DeFi行业对历史合约算术漏洞的广泛担忧。对Yearn而言,当务之急是完成资产追回,并为这个可追溯至收益耕作早期的资金池画上句号——尽管攻击者仍在持续搜寻这类被忽视的漏洞。

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻