Yearn Finance V1遭袭，遗留TUSD资金池损失30万美元_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Yearn Finance V1遭袭，遗留TUSD资金池损失30万美元

2025-12-17 19:54:47

去中心化金融协议Yearn旧版本遭受攻击

去中心化金融协议Yearn的遗留版本遭受攻击，这再度引发人们对配置错误且不可更改的智能合约的担忧——这些合约在被弃用数年后仍持有网络资金。

攻击事件概述

安全公司PeckShield周三在社交媒体发布消息称，YearnFinanceV1遭黑客攻击导致约30万美元损失。根据该公司分享的链上数据，被盗资金已被兑换为103枚以太币，目前存放在地址0x0F21...4066中。

攻击原理分析

黑客利用了一个与TrueUSD相关的过时Yearn金库（称为“iearn TUSD金库”），该金库虽已被新版本取代，但仍部署在以太坊上。配置缺陷使攻击者能够通过多笔交易操纵份额价格。

据化名加密货币研究员、中国科学技术大学校友Weilin Li分析，该金库将其策略之一配置为Fulcrum sUSD金库，并仅使用存入的sUSD余额计算份额价格。这为所谓的“捐赠攻击”打开了大门——攻击者直接将资产转入金库以扭曲核算指标。在将Fulcrum sUSD代币转入Yearn TUSD金库后，攻击者能够人为抬高金库报告的份额价格。

问题因再平衡功能而加剧，该功能会提取sUSD中的所有基础资产，而sUSD并未纳入金库份额价格计算。当再平衡启动时，金库份额价格急剧下跌，形成“价格冲击”。

攻击流程还原

根据链上数据快照，攻击者首先通过闪电贷借入大量TUSD和sUSD，随后存入sUSD以铸造Fulcrum sUSD代币，再将TUSD存入Yearn TUSD金库。此时TUSD金库的所有基础资产均为Fulcrum sUSD代币。

攻击者从Yearn TUSD金库提款并调用再平衡功能，迫使Fulcrum将所有资产赎回为sUSD。由于sUSD未被计入份额价格计算，金库核算体系崩溃，有效推动份额价格趋近于零。

随后攻击者向金库转入少量TUSD，将份额价格压至极低水平，并以最小成本铸造大量Yearn TUSD代币。最终通过在Curve资金池抛售低价获得的Yearn TUSD代币获利，从流动性提供者处提取价值后偿还闪电贷。

历史漏洞重现

研究员Li指出，此次攻击与2023年导致超千万美元损失的攻击手法相似。早前事件中涉及的不可更改yUSDT合约部署已逾三年，可追溯至iearn早期阶段。

悲观派安全分析师在攻击发生前就曾在社交媒体预警该漏洞，但由于不可更改的智能合约一经部署便无法修复或暂停，攻击终究难以避免。

官方回应与历史教训

名为storming0x的Yearn团队成员确认攻击事件发生，并保证现行合约安全无虞。但第三方观察机构指出，该DeFi协议花费1,156天才发现这个造成数百万美元损失的漏洞。

Yearn yUSDT代币合约通过一篮子收益头寸产生收益，包括在Aave、Compound、dYdX和BzX的Fulcrum上的USDT存款。然而自启动以来，yUSDT存在复制粘贴错误，错误引用了Fulcrum USDC地址而非Fulcrum USDT合约。黑客仅用1万USDT就铸造约1.2万亿yUSDT，在套现前抽干了系统价值。

本次事件发生不到一周前，另一个旧合约刚遭遇270万美元资金流失。该攻击通过对代理管理合约的重复交互，利用transferOwnership和setImplementation等功能通过委托调用操纵价格馈送代理。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文