Yearn Finance: Uma falha no contrato yETH permite que um hacker drene milhões
Eles sempre voltam, mais inventivos, mais técnicos. Hackers acabam de dar um novo golpe no universo cripto. Desta vez, a vítima foi a Yearn Finance. Resultado: 9 milhões de dólares desapareceram. Por trás do exploit, um bug de rara complexidade no contrato yETH. Na superfície, uma simples troca. Em profundidade, caos matemático. E o pior de tudo: este não é um caso isolado.
Em resumo
- A Yearn Finance perdeu 9 milhões devido a uma falha em um contrato de swap personalizado.
- O bug técnico: uma divisão omitida no cálculo do produto do saldo virtual.
- O atacante utilizou contratos temporários para drenar ativos e ofuscar o rastro.
- Uma única transação foi suficiente para embolsar 100% da liquidez do pool yETH afetado.
Quando a aritmética explode: um bug que vale milhões
Em 30 de novembro, um usuário conseguiu criar 2,35 × 10³⁸ yETH graças a uma falha sutil na função swap() do smart contract. Esse contrato deveria manter uma regra de equilíbrio entre tokens. Exceto que uma divisão crítica foi omitida na fórmula. Resultado: a variável vb_prod disparou. Como um velocímetro travado no máximo, enganou o protocolo sobre sua própria saúde.
O exploit foi confirmado pela PeckShield, que alertou em um tweet que quase 9 milhões de dólares haviam sido perdidos. Parte dos fundos — cerca de 3 milhões em ETH — foi enviada via Tornado Cash, um famoso mixer de cripto usado para ocultar rastros. O restante ainda permanece no endereço do hacker.
A gravidade do bug não é um simples descuido. Como Ilia.eth explicou no X:
A exploração de hoje do pool $yETH não foi um ataque de preço do tipo flash loan, mas sim um colapso estrutural da contabilidade interna do AMM. Aqui está uma análise técnica mostrando como uma simples divisão omitida levou ao esgotamento completo do protocolo.
Essa falha lembra dolorosamente o precedente do Balancer, onde uma má gestão de arredondamentos causou um caos semelhante. Mesma causa, mesmo efeito: criação monetária descontrolada seguida de um saque legítimo, porém destrutivo.
Contratos auxiliares para arrasar a arquitetura da Yearn Finance
Não é apenas o bug que impressiona. É a engenharia do ataque. Em uma única transação, o hacker orquestrou tudo: implantação de “contratos auxiliares”, mintagem de tokens, conversão para ETH, transferência de fundos e autodestruição dos contratos para apagar os rastros.
Segundo o Blockscout, cada contrato auxiliar executou uma chamada direcionada à função vulnerável, depois enviou o ETH para uma carteira principal antes de desaparecer. Uma estratégia digna de filme de assalto, onde o ladrão apaga suas pegadas digitais no mesmo segundo em que age.
O endereço-chave identificado por vários analistas é: 0xa80d…c822, atualmente ainda detendo cerca de 6 milhões em stETH, rETH e outros derivados de Ethereum.
No X, William Li oferece uma leitura adicional:
Na verdade, o hacker não retirou todo o yETH que criou, ele apenas vendeu parte dele no pool yETH-ETH por 1.000 ETH (cerca de 3 milhões de dólares) — o que é muito menos do que o ganho real que obteve (P2).
Mais do que um roubo, trata-se de uma desintegração controlada do protocolo yETH. E por trás do ataque, um profundo conhecimento matemático, aliado a um talento frio e preciso de programação.
Cripto e confiança: quando o código se torna o calcanhar de Aquiles
A Yearn Finance está longe de ser um projeto amador. Ainda assim, a falha não foi detectada nem por usuários nem por auditorias. É aqui que a questão se torna preocupante para todo o mercado cripto. Porque esse tipo de erro — uma multiplicação em vez de uma divisão — pode existir em outros lugares, à espreita em outros protocolos.
A estrutura do contrato yETH é um híbrido entre Curve e Balancer. Exceto que, em vez de recalcular cada transação, ele armazena um estado intermediário (vb_prod) que deveria ser atualizado após cada swap. Uma prática perigosa, segundo Ilia.eth:
Armazenar resultados de produtos complexos (vb_prod) para atualizá-los incrementalmente é extremamente arriscado. Os erros se acumulam, e o menor bug lógico pode permanecer ativo indefinidamente. Seria melhor recalcular invariantes a partir dos saldos atuais.
O hack reacende o debate: deve-se priorizar economia de gas ou rigor? Uma coisa é certa: as consequências de uma escolha mal feita agora somam milhões. Na Yearn, o momento é de remobilização: SEAL911, ChainSecurity e uma investigação post-mortem já estão na linha de frente.
5 fatos-chave sobre o exploit da Yearn Finance
- 30 de novembro de 2025: data do hack;
- 9 milhões de dólares: perdas totais estimadas;
- 2,35 × 10³⁸ yETH: tokens criados artificialmente;
- Transação única: todo o ataque ocorreu em um bloco;
- Contratos auxiliares: implantados, usados e depois autodestruídos.
Erros de cálculo em cripto não perdoam. E por um bom motivo: não seria outra auditoria que teria evitado a carnificina. O Balancer, apesar de 11 auditorias de segurança, também foi esvaziado por um bug quase idêntico. Um simples fator de multiplicação pode se tornar uma arma de destruição em massa quando as finanças se tornam programáveis. Protocolos têm memória curta, mas blockchains nunca esquecem.
Aviso Legal: o conteúdo deste artigo reflete exclusivamente a opinião do autor e não representa a plataforma. Este artigo não deve servir como referência para a tomada de decisões de investimento.
Talvez também goste
A inflação nos Estados Unidos continua "persistentemente alta"! O Goldman Sachs foi o primeiro a mudar de opinião: O ciclo de aumento de juros do Federal Reserve ainda não acabou e pode subir mais 25 pontos base em março do próximo ano.
Os dados do CPI dos EUA de outubro, divulgados na terça-feira e superiores ao esperado, levaram o Goldman Sachs a revisar sua previsão anterior de que o atual ciclo de aumento de juros do Federal Reserve terminaria em dezembro. Agora, a gigante financeira de Wall Street prevê que o Federal Reserve fará mais um aumento de 25 pontos base em março do próximo ano.
O medo é o maior vendedor! Morgan Stanley incentiva a compra de semicondutores: falta de terrenos e eletricidade não são problema, os projetos aprovados não são suficientes para atender à demanda.
A Morgan Stanley acredita que o setor de semicondutores foi vendido em excesso recentemente, sendo o pânico do mercado, e não os fundamentos, o maior risco. Impulsionada pela demanda de infraestrutura de IA, os pedidos downstream continuam acelerando, e o fornecimento de semicondutores permanece como o principal gargalo. A limitação do LPS, por sua vez, torna o crescimento mais estável. O setor pode oscilar a curto prazo, mas já está próximo do fundo, com perspectivas positivas para os segmentos de poder computacional e armazenamento.
Pedidos de poder de processamento explodem, por que o "comércio de IA" está perdendo força? JPMorgan revela o descompasso entre investimento em IA e realização da produtividade
A equipe de pesquisa econômica global do JPMorgan, liderada por Joseph Lupton, apontou em um estudo de 10 de novembro que a recente melhora na produtividade do trabalho deriva principalmente da intensificação do uso de capital e do aumento da força dos fatores de produção. Os amplos ganhos de eficiência proporcionados pela IA, por meio da reestruturação de processos, integração de dados e ajustes organizacionais, ainda exigem tempo para se concretizarem. Isso significa que pedidos de chips, servidores e equipamentos elétricos podem crescer primeiro, enquanto o retorno contínuo do investimento para operadores de poder computacional e usuários finais pode não acontecer simultaneamente.
O investimento em IA entra no "Vale da Desilusão", os próximos 18 meses serão um teste de vida ou morte!
O Goldman Sachs acredita que o ciclo de investimento em IA está atualmente no "vale da desilusão", mas essa não é a primeira vez que isso acontece. O problema central é que o modelo de negócios das novas empresas de computação em nuvem depende fortemente do retorno dos gastos dos clientes finais em IA, enquanto atualmente "basicamente nenhuma empresa pode atribuir seus lucros à IA". O fundador da Social Capital, Palihapitiya, definiu claramente uma janela crucial de 18 meses, período durante o qual o mercado irá avaliar e separar os modelos de negócios sustentáveis dos insustentáveis em IA.
Preços de criptomoedas
Mais
