Yearn Finance, ese veterano de la jungla DeFi, acaba de recibir otro golpe.
¿La víctima? yETH, un producto sofisticado de Yearn que agrupa varios Ethereum en staking en un solo paquete prolijo.
Imaginá una canasta cósmica de frutas que de repente es saqueada por un bandido cripto en las sombras.
1.000 ETH desaparecidos en Tornado Cash
¿El robo? Alrededor de 9 millones de dólares desaparecieron del pool yETH stableswap y de su compañero, el más pequeño yETH-WETH pool en Curve.
El hacker jugó como un profesional, explotando una combinación críptica de un supuesto “bug numérico de bajo nivel” y un “problema de gestión de invariantes de alto nivel” (sí, eso es jerga real de expertos cripto para decir “la cagamos”).
En un domingo que probablemente debería haber sido tranquilo, alguien minteó tokens yETH infinitos, los cambió por ETH real y tokens de staking, y luego se fugó con el premio en efectivo y unos 1.000 ETH que desaparecieron en Tornado Cash, la versión DeFi de una bomba de humo.
A las 21:11 UTC del 30 de noviembre, ocurrió un incidente que involucró al pool yETH stableswap y resultó en la emisión de una gran cantidad de yETH. El contrato afectado es una versión personalizada del popular código stableswap, sin relación con otros productos de Yearn. Las bóvedas Yearn V2/V3 no están en riesgo.
— yearn (@yearnfi) 1 de diciembre de 2025
Smart contracts que se autodestruyen
La respuesta de Yearn fue rápida y hasta un poco heroica. En colaboración con Plume y Dinero, recuperaron 857,49 pxETH, aproximadamente 2,4 millones de dólares, rescatando una parte del botín del abismo.
El proceso fue delicado, descrito en el comunicado nocturno de Yearn como de “alta complejidad”, rivalizando con la audacia infame del reciente hackeo a Balancer.
¿Cómo logró el villano esta hazaña? El truco involucró una clase ingeniosa de smart contracts que se autodestruyen después de hacer su trabajo sucio, borrando cualquier rastro de su bytecode pero dejando migas de pan en la blockchain para el analista atento.
Estos contratos mintearon tokens yETH falsos, vaciaron pools y luego desaparecieron como barcos fantasmas en la noche digital.
Incluso los protocolos veteranos con miles de millones no son invencibles
¿La versión oficial de Yearn? El desastre está aislado, solo el código personalizado de yETH fue afectado.
Al momento de escribir esto, las bóvedas de Yearn todavía mantienen unos 570 millones de dólares, intactos tras este episodio en particular. Pero vale decir que esta no es la primera vez que Yearn pasa por algo así.
Han estado envueltos en exploits desde 2021, incluyendo una pérdida de 11 millones de dólares por el hackeo de la bóveda yDAI y un ataque a un contrato yUSDT antiguo en 2023.
Como un vaquero curtido, Yearn sigue recibiendo disparos pero se niega a retirarse al atardecer.
Para los entusiastas de DeFi, este episodio suena una fuerte alarma: incluso los protocolos veteranos con miles de millones no son invencibles.
El exploit de yETH combina rarezas de smart contracts y hackers astutos, ilustrando el acto de equilibrio precario que es la seguridad en las finanzas descentralizadas.
Criptomonedas y experto en Web3, fundador de Kriptoworld
LinkedIn | X (Twitter) | Más artículos
Con años de experiencia cubriendo el espacio blockchain, András ofrece reportes perspicaces sobre DeFi, tokenización, altcoins y regulaciones cripto que están moldeando la economía digital.
