Yearn memulihkan aset curian senilai $2,4 juta akibat bug 'aritmatika tidak terkontrol'
Protocol OG DeFi, Yearn Finance, kehilangan sekitar $9 juta akibat eksploitasi pada hari Minggu, setelah seorang penyerang berhasil mencetak hampir jumlah tak terbatas token yETH dan menguras pool stableswap Ether milik Yearn. Tim menyatakan bahwa misi pemulihan sedang berlangsung dan protokol V2 serta V3 mereka tidak berisiko.
Tim Yearn Finance telah berhasil memulihkan sekitar $2,4 juta aset yang dicuri dari eksploitasi terbaru pada protokol DeFi lama tersebut, sementara total kerugian yang diperkirakan mendekati $9 juta, menurut pembaruan pada hari Senin. Misi pemulihan yang terkoordinasi saat ini “aktif dan sedang berlangsung,” menurut sebuah postingan di X.
Pada hari Minggu, sebuah kerentanan pada protokol yield-farming yang pernah populer dieksploitasi untuk menguras aset dari pool stableswap Yearn Ether (yETH) dan pool yETH‑WETH yang lebih kecil di Curve. Serangan ini, yang merupakan serangan ketiga yang menargetkan Yearn sejak 2021, memiliki “kompleksitas tinggi yang serupa” dengan peretasan Balancer baru-baru ini, menurut Yearn.
Menurut laporan post-mortem yang dipublikasikan pada hari Senin, “penyebab utama” berasal dari bug “aritmatika yang tidak diperiksa” dan masalah desain lain yang berkontribusi, yang memungkinkan penyerang mencetak 2,3544x10^56 token yETH — jumlah yang hampir tak terbatas — yang digunakan untuk menguras likuiditas dari protokol.
“Transaksi eksploitasi sebenarnya mengikuti pola ini: pencetakan besar-besaran diikuti oleh serangkaian penarikan yang memindahkan aset nyata ke penyerang, sementara suplai token yETH pada dasarnya tidak berarti,” menurut laporan post-mortem tersebut.
Yearn mencatat bahwa serangan ini bersifat terarah dan seharusnya tidak berdampak pada vault V2 atau V3 mereka. “Setiap aset yang berhasil dipulihkan akan dikembalikan kepada deposan yang terdampak,” tambah tim tersebut.
Seperti yang sebelumnya dilaporkan oleh The Block , penyerang berhasil memindahkan setidaknya 1.000 ETH dan beberapa token liquid staking ke Tornado Cash anonymizer. Yearn, bersama dengan perusahaan keamanan kripto SEAL 911 dan ChainSecurity, bekerja sama dengan jaringan Plume untuk memulihkan 857,49 pxETH hingga saat berita ini ditulis.
BlockScout mengatakan bahwa peretas menggunakan “helper contracts” yang dapat menghancurkan diri sendiri sebagai bagian dari serangan. Kode ini adalah smart contract tambahan khusus yang digunakan untuk melakukan tugas otomatis, dan sering disalahgunakan selama serangan flash loan yang memerlukan beberapa langkah dalam satu transaksi.
Penyerang, misalnya, menggunakan helper contract untuk memanipulasi fungsi yETH yang rentan, mencetak jumlah token yang sangat besar, dan menguras protokol, sebelum akhirnya menghancurkan dirinya sendiri. “Self-destruct menghapus bytecode, membuat kontrak tidak dapat dibaca setelahnya, tetapi transaksi pembuatan dan log tetap tersimpan,” kata Blockscout.
"Analisis awal menunjukkan bahwa peretasan ini memiliki tingkat kompleksitas tinggi yang serupa dengan peretasan Balancer baru-baru ini, jadi mohon bersabar saat kami melakukan analisis post-mortem," kata Yearn pada hari Minggu. "Tidak ada produk Yearn lain yang menggunakan kode serupa dengan yang terdampak."
Disclaimer: Konten pada artikel ini hanya merefleksikan opini penulis dan tidak mewakili platform ini dengan kapasitas apa pun. Artikel ini tidak dimaksudkan sebagai referensi untuk membuat keputusan investasi.
Kamu mungkin juga menyukai
Badai imbal hasil obligasi AS 5% datang! Hitung mundur bom refinancing dimulai, siapa yang akan menjadi korban pertama?
Imbal hasil obligasi AS 10 tahun melonjak di atas 5%, mencapai level tertinggi sejak 2007. Semakin lama suku bunga tinggi dipertahankan, tekanan refinancing bagi perusahaan properti, real estate komersial, dan perusahaan dengan utang tinggi akan semakin besar, sehingga risiko sistemik diprediksi akan meningkat dengan cepat dalam 12 hingga 18 bulan ke depan.
Jangan melawan siklus keuntungan! Apakah pasar saham Amerika akan menembus 8000 poin tahun ini?
Jefferies memperkirakan bahwa, didorong oleh gelombang investasi AI dan kenaikan laba perusahaan yang melebihi ekspektasi, indeks S&P 500 diperkirakan akan melonjak hingga 8.000 poin pada akhir 2026 dan mencapai 9.000 poin pada tahun 2027. Ekspansi keuntungan AI telah menyebar dari tujuh raksasa ke seluruh pasar, dengan EPS S&P 500 tahun ini diperkirakan melonjak 35%, jauh melampaui konsensus pasar—ini adalah siklus keuangan super terkuat sejak tahun 1995! Ancaman nyata satu-satunya: jika imbal hasil obligasi AS terus melonjak, risiko kompresi valuasi tidak bisa diabaikan.
AI "belajar berkelanjutan" akan memperpanjang kekurangan memori hingga tahun 2031?
Citi memperkirakan bahwa seiring AI memasuki era "pembelajaran berkelanjutan" dari tahap pelatihan dan inferensi murni, permintaan akan HBM, DDR5 server, dan solid state drive (eSSD) kelas enterprise akan tumbuh secara eksplosif mulai tahun 2027. Sementara permintaan melonjak tajam, pasokan tetap terhambat oleh keterbatasan kapasitas produksi HBM dan lambatnya migrasi teknologi, membuat ekspansi produksi jauh tertinggal dari permintaan. Ketidakseimbangan antara penawaran dan permintaan ini diperkirakan akan terus berlanjut hingga tahun 2031.
Harga kripto
Lainnya
