Bitget App
Mag-trade nang mas matalino
Buy cryptoMarketsTradeFuturesStocksEarnInstitusyonAI & More
Yearn nabawi ang $2.4 milyon na ninakaw na asset na nagmula sa 'unchecked arithmetic' bug

Yearn nabawi ang $2.4 milyon na ninakaw na asset na nagmula sa 'unchecked arithmetic' bug

The BlockThe Block2025/12/01 23:28
Ipakita ang orihinal
By:By Daniel Kuhn

Ang OG DeFi protocol na Yearn Finance ay nawalan ng humigit-kumulang $9 milyon dahil sa isang exploit nitong Linggo, matapos magawa ng isang attacker na mag-mint ng halos walang limitasyong dami ng yETH tokens at madrenahan ang Yearn Ether stableswap pool. Ayon sa team, kasalukuyan pa ring isinasagawa ang recovery mission at hindi nanganganib ang kanilang V2 at V3 protocols.

Yearn nabawi ang $2.4 milyon na ninakaw na asset na nagmula sa 'unchecked arithmetic' bug image 0

Ang Yearn Finance team ay nakabawi ng humigit-kumulang $2.4 milyon na halaga ng mga ninakaw na asset mula sa pinakabagong exploit ng legacy DeFi protocol, habang ang kabuuang tinatayang pagkalugi ay umaabot na sa $9 milyon, ayon sa isang update nitong Lunes. Isang koordinadong recovery mission ay “aktibo at nagpapatuloy,” ayon sa isang post sa X.

Noong Linggo, isang kahinaan sa dating tanyag na yield-farming protocol ang na-exploit upang ma-drain ang mga asset mula sa Yearn Ether (yETH) stableswap pool at mas maliit na yETH‑WETH pool sa Curve. Ang pag-atake, na pangatlo na laban sa Yearn mula 2021, ay may “katulad na mataas na antas ng komplikasyon” sa kamakailang Balancer hack, ayon sa Yearn. 

Ayon sa isang post-mortem published nitong Lunes, ang “ugat ng sanhi” ay nagmula sa isang “unchecked arithmetic” bug at iba pang “mga isyung disenyo” na nagbigay-daan sa attacker na makapag-mint ng 2.3544x10^56 yETH tokens  — halos walang hangganang dami — na ginamit upang ma-drain ang liquidity mula sa protocol. 

“Ang aktwal na mga exploit transaction ay sumusunod sa pattern na ito: ang napakalaking mint ay sinusundan ng sunod-sunod na withdrawals na naglilipat ng totoong asset sa attacker, habang ang yETH token supply ay epektibong walang saysay,” ayon sa postmortem. 

Ipinapahayag ng Yearn na ang pag-atake ay target lamang at hindi dapat makaapekto sa kanilang V2 o V3 vaults. “Anumang asset na matagumpay na mababawi ay ibabalik sa mga naapektuhang depositor,” dagdag ng team. 

Ayon sa naunang ulat ng The Block, nagawa ng attacker na mailipat ang hindi bababa sa 1,000 ETH at ilang liquid staking tokens sa Tornado Cash anonymizer. Ang Yearn, kasama ang crypto security firms na SEAL 911 at ChainSecurity, ay nakipagtulungan sa Plume network upang mabawi ang 857.49 pxETH sa oras ng pag-uulat. 

Sinabi ng BlockScout na ang hacker ay nag-deploy ng self-destructing na “helper contracts” bilang bahagi ng pag-atake. Ang mga code insert na ito ay mga espesyal na auxiliary smart contract na ginagamit upang magsagawa ng automated na mga gawain, at madalas na inaabuso sa mga flash loan attack na nangangailangan ng maraming hakbang sa loob ng isang transaksyon. 

Halimbawa, gumamit ang attacker ng helper contract upang manipulahin ang vulnerable na yETH function, mag-mint ng napakaraming token, at i-drain ang protocol, bago sirain ang sarili nito. “Ang self-destruct ay nag-aalis ng bytecode, kaya hindi na mababasa ang contract pagkatapos, ngunit ang creation transactions at logs ay nananatili,” ayon sa BlockScout.

"Ang paunang pagsusuri ay nagpapahiwatig na ang hack na ito ay may katulad na mataas na antas ng komplikasyon sa kamakailang Balancer hack, kaya’t pakiusap na maghintay habang isinasagawa namin ang post-mortem analysis," ayon sa Yearn nitong Linggo. "Walang ibang Yearn product na gumagamit ng katulad na code sa naapektuhan."


0
0

Disclaimer: Ang nilalaman ng artikulong ito ay sumasalamin lamang sa opinyon ng author at hindi kumakatawan sa platform sa anumang kapasidad. Ang artikulong ito ay hindi nilayon na magsilbi bilang isang sanggunian para sa paggawa ng mga desisyon sa investment.

PoolX: Naka-lock para sa mga bagong token.
Hanggang 12%. Palaging naka-on, laging may airdrop.
Mag Locked na ngayon!

Baka magustuhan mo rin

Goldman Sachs: Huwag maghintay ng midterm elections, ang "Goldilocks" market ay maaaring mas maagang magsimula ng year-end rally sa U.S. stocks

Ayon sa Goldman Sachs, labis nang naipresyo ng merkado ang panganib ng stagflation at mataas na yield, humihina na ang epekto ng taripa, maaaring magdulot ng deflasyon ang enerhiya, at ang consumerisasyon ng AI at pagbaba ng gastos ay magpapababa ng inflation; bagamat bumabagal ang paglago, nananatiling matatag ang pangunahing kita, at limitado ang kakayahan ng central bank na maging hawkish. Sa sitwasyon ng "Goldilocks", muling sumiklab ang FOMO sa AI, hindi na kailangang maghintay ng midterm elections, maaaring maaga nang magliyab ang "Goldilocks" rally sa dulo ng taon ng US stock market.

华尔街见闻•2026/09/27 08:31

Sa paparating na third quarter report, ang Samsung Electronics at SK Hynix ay haharap sa "napakataas na inaasahan", pagsubok sa "global AI trading"

Ang alon ng AI ay nagtutulak sa pandaigdigang "super cycle" ng semiconductors, at ang pinagsamang kita ng Samsung at SK Hynix sa ikatlong quarter ay maaaring lumapit sa rekord na 190 trilyong Korean won. Umiigting ang labanan sa HBM4, kung saan pinapataas ng intelligent AI agents ang pangangailangan sa bandwidth ng storage nang sampung beses, at ang memory ay nagiging tunay na "dugo" ng mga AI data center. Dalawang paparating na financial report ang magpapasya kung ang kasaganaan na ito ay panandalian lamang o magsasanhi ng isang estrukturang pagbabago sa pundasyon ng teknolohiya.

华尔街见闻•2026/09/27 01:11
Sa paparating na third quarter report, ang Samsung Electronics at SK Hynix ay haharap sa "napakataas na inaasahan", pagsubok sa "global AI trading"

Meta AI pinuno Alexandr Wang: Bakit ko gustong gawin ang Muse

Muse ay naabot ang 2.8 milyong downloads sa loob ng 12 araw, nilampasan ang ChatGPT sa parehong panahon, at nagtala ng 264,000 downloads sa U.S. sa loob lamang ng isang araw—dahil dito, ang market value ng Meta ay tumaas ng $234 bilyon. Sa likod nito ay ang bukas na liham ng Chief AI Officer Alexandr Wang na tumatalakay sa "mga hangarin ng tao," at ang $14.3 bilyong "baliw" na pagkuha ni Zuckerberg noon na pinagtawanan. Ngayon, maaring ito na ang pinaka-kapaki-pakinabang na recruitment deal sa kasaysayan ng Silicon Valley.

华尔街见闻•2026/09/26 12:01

UBS: Panatilihin ang “Neutral” na rating sa Tesla (TSLA.US) Target na presyo $385 Ang AI na naratibo ang pangunahing nagbibigay ng lohika sa pagpepresyo ng stock

Inaasahan ng UBS na ang global na bilang ng mga sasakyang idedeliver ng Tesla sa ikatlong quarter ng 2026 (3Q26) ay humigit-kumulang 470,000 units, na katumbas ng 5% pagbaba kumpara sa kaparehong panahon noong nakaraang taon at 1% pagbaba kumpara sa nakaraang quarter.

智通财经•2026/09/26 07:56