Yearn recupera US$ 2,4 milhões em ativos roubados devido a bug de 'aritmética não verificada'
O protocolo OG DeFi Yearn Finance perdeu cerca de US$ 9 milhões em um exploit no domingo, depois que um invasor conseguiu criar uma quantidade quase infinita de tokens yETH e esgotou um pool de stableswap Ether da Yearn. A equipe afirmou que uma missão de recuperação está em andamento e que seus protocolos V2 e V3 não estão em risco.
A equipe da Yearn Finance recuperou aproximadamente US$ 2,4 milhões em ativos roubados do mais recente exploit do protocolo DeFi legado, enquanto as perdas totais estimadas se aproximam de US$ 9 milhões, de acordo com uma atualização feita na segunda-feira. Uma missão coordenada de recuperação está “ativa e em andamento”, conforme publicado em uma postagem no X.
No domingo, uma vulnerabilidade no outrora popular protocolo de yield-farming foi explorada para drenar ativos do pool stableswap Yearn Ether (yETH) e de um pool menor yETH‑WETH na Curve. O ataque, o terceiro direcionado à Yearn desde 2021, teve uma “complexidade igualmente alta” ao recente hack da Balancer, segundo a Yearn.
De acordo com um post-mortem publicado na segunda-feira, a “causa raiz” decorre de um bug de “aritmética não verificada” e outros “problemas de design contribuintes” que permitiram ao invasor cunhar 2,3544x10^56 tokens yETH — uma quantidade quase infinita — usados para drenar a liquidez do protocolo.
“As transações reais do exploit seguem este padrão: a grande cunhagem é seguida por uma sequência de saques que transferem ativos reais para o invasor, enquanto o fornecimento de tokens yETH é efetivamente sem significado”, segundo o post-mortem.
A Yearn observa que o ataque foi direcionado e não deve impactar seus cofres V2 ou V3. “Quaisquer ativos recuperados com sucesso serão devolvidos aos depositantes afetados”, acrescentou a equipe.
Como reportado anteriormente pelo The Block, o invasor conseguiu mover pelo menos 1.000 ETH e vários tokens de staking líquido para o anonimador Tornado Cash. A Yearn, juntamente com as empresas de segurança cripto SEAL 911 e ChainSecurity, trabalhou com a rede Plume para recuperar 857,49 pxETH até o momento da publicação.
A BlockScout afirmou que o hacker implantou “contratos auxiliares” autodestrutivos como parte do ataque. Esses códigos são contratos inteligentes auxiliares especializados usados para executar tarefas automatizadas, e frequentemente abusados durante ataques de flash loan que exigem múltiplos passos em uma única transação.
O invasor, por exemplo, usou um contrato auxiliar para manipular a função vulnerável yETH, cunhar uma quantidade absurda de tokens e drenar o protocolo, antes de se autodestruir. “A autodestruição remove o bytecode, tornando o contrato ilegível posteriormente, mas as transações de criação e logs são preservados”, disse a BlockScout.
“A análise inicial indicou que este hack tem um nível de complexidade semelhante ao recente hack da Balancer, então pedimos paciência enquanto realizamos a análise post-mortem”, disse a Yearn no domingo. “Não há outro produto da Yearn usando código semelhante ao que foi impactado.”
Aviso Legal: o conteúdo deste artigo reflete exclusivamente a opinião do autor e não representa a plataforma. Este artigo não deve servir como referência para a tomada de decisões de investimento.
Talvez também goste
Por que a crise imobiliária não afetou a taxa de câmbio?
Agentes de IA impulsionam a segunda onda de crescimento da computação em nuvem! Grandes bancos de Wall Street analisam a onda de expansão do IaaS e a reavaliação do valor do PaaS — quem está realmente lucrando com a nova febre dos tokens?
Para potenciais vencedores em IaaS/PaaS no campo de computação em nuvem de IA, diante da ascensão de novas forças como a CoreWeave, a Bernstein atribuiu sua classificação mais otimista de “outperform” para Microsoft (MSFT.US), Oracle (ORCL.US) e MongoDB (MDB.US).
Wall Street está prestes a perder o sono! Contagem regressiva para o modelo de negociação “23/5” das ações dos EUA — será que a rotação global de capitais pode fortalecer o caminho para um bull market de longo prazo?
A partir de 6 de dezembro, as bolsas de valores dos Estados Unidos vão adicionar um período de negociação noturna, das 21h à 4h (horário de Nova Iorque), além do horário regular e dos já existentes períodos de pré e pós-mercado. Essa expansão tem como objetivo atender à crescente demanda de investidores estrangeiros e competir com o mercado de criptomoedas e mercados de previsão. O volume de negociações noturnas aumentou 358% em relação ao ano passado.
Preços de criptomoedas
Mais
