Yearn Finance: Luka w kontrakcie yETH pozwala hakerowi wyprowadzić miliony
Zawsze wracają, bardziej pomysłowi, bardziej techniczni. Hakerzy właśnie zadali kolejny cios w świecie kryptowalut. Tym razem ofiarą padł Yearn Finance. Efekt: zniknęło 9 milionów dolarów. Za exploitem stoi błąd o rzadkiej złożoności w kontrakcie yETH. Na powierzchni – zwykła zamiana. W głębi – matematyczny chaos. I co najgorsze, to nie jest odosobniony przypadek.
W skrócie
- Yearn Finance traci 9 milionów z powodu luki w niestandardowym kontrakcie swap.
- Błąd techniczny: pominięcie dzielenia w obliczaniu iloczynu wirtualnego salda.
- Atakujący używa tymczasowych kontraktów do wyprowadzenia aktywów i zaciemnienia śladów.
- Pojedyncza transakcja wystarczyła, by przejąć 100% płynności dotkniętej puli yETH.
Kiedy arytmetyka eksploduje: błąd wart miliony
30 listopada użytkownik był w stanie stworzyć 2,35 × 10³⁸ yETH dzięki subtelnej luce w funkcji swap() smart kontraktu. Ten kontrakt miał utrzymywać regułę równowagi między tokenami. Jednak w formule pominięto kluczowe dzielenie. Rezultat: zmienna vb_prod wymknęła się spod kontroli. Jak prędkościomierz zablokowany na maksymalnych obrotach, wprowadziła protokół w błąd co do własnego stanu zdrowia.
Exploit został potwierdzony przez PeckShield, który ostrzegł na Twitterze, że straty wyniosły niemal 9 milionów dolarów. Część środków — około 3 miliony w ETH — została przesłana przez Tornado Cash, znany mikser kryptowalut używany do zaciemniania śladów. Reszta nadal znajduje się na adresie hakera.
Poważność błędu nie wynika z prostego przeoczenia. Jak wyjaśnił Ilia.eth na X:
Dzisiejsze wykorzystanie puli $yETH nie było atakiem typu flash loan na cenę, lecz faktycznym strukturalnym załamaniem wewnętrznej księgowości AMM. Oto analiza techniczna pokazująca, jak proste pominięcie dzielenia doprowadziło do całkowitego wyczerpania protokołu.
Ta luka boleśnie przypomina przypadek Balancer, gdzie złe zarządzanie zaokrągleniami wywołało podobny chaos. Ta sama przyczyna, ten sam skutek: niekontrolowane tworzenie pieniędzy, po którym następuje uzasadnione, lecz destrukcyjne wycofanie środków.
Kontrakty pomocnicze, by zburzyć architekturę Yearn Finance
Nie tylko błąd robi wrażenie. To także inżynieria ataku. W jednej transakcji haker zaplanował wszystko: wdrożenie „kontraktów pomocniczych”, mintowanie tokenów, konwersję na ETH, transfer środków i autodestrukcję kontraktów w celu zatarcia śladów.
Zgodnie z danymi Blockscout, każdy kontrakt pomocniczy wykonywał ukierunkowane wywołanie podatnej funkcji, po czym przesyłał ETH do głównego portfela i znikał. Strategia godna filmu o napadzie, gdzie złodziej zaciera cyfrowe ślady w tej samej sekundzie, w której działa.
Kluczowy adres zidentyfikowany przez kilku analityków to: 0xa80d…c822, obecnie nadal posiadający około 6 milionów w stETH, rETH i innych pochodnych Ethereum.
Na X William Li poleca dalszą lekturę:
Haker tak naprawdę nie wycofał wszystkich stworzonych przez siebie yETH, sprzedał tylko część w puli yETH-ETH za 1 000 ETH (około 3 miliony dolarów) — co jest znacznie mniej niż rzeczywisty zysk, jaki osiągnął (P2).
Bardziej niż kradzież, to kontrolowana dezintegracja protokołu yETH. A za atakiem stoi głęboka wiedza matematyczna, połączona z zimnym i precyzyjnym talentem programistycznym.
Krypto i zaufanie: gdy kod staje się piętą achillesową
Yearn Finance to daleko nie amatorski projekt. Jednak luki nie wykryli ani użytkownicy, ani audyty. W tym miejscu sprawa staje się niepokojąca dla całego rynku kryptowalut. Bo tego typu błąd — mnożenie zamiast dzielenia — może istnieć gdzie indziej, czając się w innych protokołach.
Struktura kontraktu yETH to hybryda między Curve a Balancer. Zamiast przeliczać każdą transakcję, przechowuje stan pośredni (vb_prod), który powinien być aktualizowany po każdym swapie. To niebezpieczna praktyka, według Ilia.eth:
Przechowywanie złożonych wyników iloczynów (vb_prod) i ich inkrementalne aktualizowanie jest niezwykle ryzykowne. Błędy się kumulują, a najmniejszy błąd logiczny może pozostać aktywny w nieskończoność. Lepiej byłoby przeliczać inwarianty na podstawie aktualnych sald.
Ten hack ożywia debatę: czy priorytetem powinna być oszczędność gazu, czy rygor? Jedno jest pewne: konsekwencje źle przeprowadzonego kompromisu liczą się dziś w milionach. W Yearn nadszedł czas na remobilizację: SEAL911, ChainSecurity i dochodzenie post-mortem są już na pierwszej linii.
5 kluczowych faktów o exploicie Yearn Finance
- 30 listopada 2025: data ataku;
- 9 milionów dolarów: szacowane całkowite straty;
- 2,35 × 10³⁸ yETH: sztucznie stworzone tokeny;
- Pojedyncza transakcja: cały atak miał miejsce w jednym bloku;
- Kontrakty pomocnicze: wdrożone, użyte, a następnie autodestrukcja.
Błędy obliczeniowe w krypto nie wybaczają. I to nie kolejny audyt zapobiegłby tej masakrze. Balancer, mimo 11 audytów bezpieczeństwa, również został opróżniony przez niemal identyczny błąd. Prosty współczynnik mnożenia może stać się bronią masowego rażenia, gdy finanse stają się programowalne. Protokoły mają krótką pamięć, ale blockchainy nigdy nie zapominają.
Zastrzeżenie: Treść tego artykułu odzwierciedla wyłącznie opinię autora i nie reprezentuje platformy w żadnym charakterze. Niniejszy artykuł nie ma służyć jako punkt odniesienia przy podejmowaniu decyzji inwestycyjnych.
Może Ci się również spodobać
Co kupić po gwałtownym spadku akcji AI? Oppenheimer: Skup się na „realizacji zysków” – Microsoft, Oracle i SAP jako priorytet
Badanie przeprowadzone przez Oppenheimer wśród 449 nabywców IT wykazało, że produkty aplikacji AI prowadzone przez inteligentne agentów nadal walczą o większe budżety przedsiębiorstw, ale klienci zaczynają bardziej skupiać się na potwierdzaniu zwrotu z inwestycji. Wydatki mogą zwolnić tempo ekspansji do 2027 roku, a cały sektor oprogramowania niekoniecznie doświadczy ogólnego przyspieszenia wzrostu. Microsoft, Oracle i SAP zostały przez zespół analityków Oppenheimer uznane za głównych potencjalnych zwycięzców.
Gwałtowny wzrost Philadelphia Semiconductor Index o prawie 7% + spadek cen ropy, AI ponownie kontratakuje w dziedzinie mocy obliczeniowej: dzisiejsze dane CPI staną się kamieniem probierczym
Amerykańskie Biuro Statystyki Pracy opublikuje we wtorek raport dotyczący indeksu cen konsumpcyjnych za październik. Przewidywany ogólny wzrost wynosi 0,3%, a bazowy wzrost 0,2%. Chociaż raport nie będzie zawierał rocznego wskaźnika inflacji z powodu ubiegłorocznego zamknięcia rządu, wyniki mogą sprawić, że inflacja Rezerwy Federalnej znacznie przekroczy jej cel na poziomie 2%. "Musimy zaakceptować porażkę zarówno pod względem kosztów, jak i inflacji," powiedział w poniedziałek Austan Goolsbee, prezes Rezerwy Federalnej w Chicago.
Narracja o AI "zabierającym pracę" została obalona: wzrost konsultacji i rekrutacji tymczasowych pracowników, dane z października ujawniają wzrost zatrudnienia w USA, a nie spadek
W październiku liczba nowych miejsc pracy poza rolnictwem wzrosła o 165 tys., znacznie przekraczając oczekiwania. Branża doradcza osiągnęła historyczne maksimum, a od czasu pojawienia się ChatGPT dzięki AI powstało netto 786 tys. nowych stanowisk pracy, zatrudnienie nie spadło, lecz wzrosło.
Ceny krypto
Więcej
