Poin Utama
- Seorang peretas mengeksploitasi kerentanan "pencetakan tak terbatas" dalam produk yETH Yearn Finance, yang memungkinkan mereka membuat token yETH tanpa batas dan mencuri sekitar $3 juta dari kumpulan likuiditas dalam satu transaksi
- Total dana curian sekitar 1.000 ETH dicuci melalui mixer privasi yang dikenai sanksi, Tornado Cash
- Yearn Finance mengklarifikasi bahwa vault intinya tidak terpengaruh dalam serangan siber ini
Yearn Finance, protokol terdesentralisasi utama, telah mengkonfirmasi pelanggaran keamanan baru-baru ini pada platformnya. Pada 30 November, eksploitasi terjadi pada protokol tersebut, di mana yETH Yearn menjadi target.
Menurut sebuah laporan, transaksi yang sangat canggih telah memungkinkan penyerang untuk membuat pasokan token yETH yang hampir tak terbatas. Pasokan palsu ini kemudian digunakan untuk menguras sekitar $3 juta dalam aset nyata dari kumpulan likuiditas yang terhubung.
Tak lama setelah transaksi mencurigakan ini, data on-chain mengungkapkan bahwa dana curian, sekitar 1000 ETH, dikirim melalui Tornado Cash, yaitu alat privasi yang membuat pelacakan transaksi cryptocurrency menjadi sangat sulit.
Apa itu yETH?
yETH adalah indeks token staking likuid. Tujuannya adalah untuk membuat staking di jaringan Ethereum lebih sederhana bagi pengguna sehari-hari. Alih-alih memilih layanan staking tunggal, yETH secara otomatis menggunakan kombinasi dari banyak token staking populer, termasuk stETH dari Lido dan rETH dari Rocket Pool, menjadi satu token tunggal.
Ini memungkinkan pengguna untuk mendiversifikasi aset penghasil imbal hasil mereka. Produk ini menjadi sangat populer dan menahan lebih dari $8,82 juta dalam total nilai terkunci pada protokol, menurut DefiLIama.
Apa yang Terjadi pada Yearn Finance ETH?
Menurut pakar, penyerang telah memanfaatkan kerentanan tak terbatas protokol dalam kontrak pintar yETH. Dengan kata sederhana, kelemahan ini memungkinkan penyerang untuk menghasilkan jumlah token yETH yang besar dan tidak sah tanpa menyediakan jaminan yang diperlukan untuk menghasilkan token-token tersebut.
(Sumber: Togbe di X)
Pada 30 November, penyerang menggunakan kontrak pintar yang baru dibuat untuk berinteraksi dengan sistem yETH. Kontrak-kontrak ini telah menipu sistem dan secara tegas melewati pemeriksaan keamanan normal. Dalam satu transaksi, penyerang mencetak triliunan token yETH dari ketiadaan.
Jumlah yETH yang tidak berharga ini kemudian segera ditukar dengan aset berharga seperti ETH dan stETH di kumpulan likuiditas Balancer. Ini memungkinkan penyerang untuk menguras kumpulan ini.
Seorang penyelidik on-chain adalah salah satu yang pertama melacak aktivitas mencurigakan di jaringan, menyatakan bahwa kumpulan tersebut telah dikuras dengan keuntungan sekitar 1.000 ETH. Setelah serangan, nilai kumpulan turun hampir menjadi nol. Menurut sebuah laporan, penyerang berhasil pergi dengan sekitar $3 juta setelah memperhitungkan biaya transaksi.
Untuk menyamarkan jejak ini, kontrak berbahaya dalam peretasan diprogram untuk menghancurkan diri segera setelah pencurian. Ini adalah teknik umum yang digunakan dalam jenis peretasan seperti ini.
Peretas kemudian dengan cepat bergerak untuk mencuci dana curian. Seluruh jumlah 1.000 ETH dipecah menjadi batch yang lebih kecil dan dikirim melalui Tornado Cash. Platform ini dikembangkan untuk menghapus jejak cryptocurrency, dan sebelumnya, secara resmi dikenai sanksi oleh pemerintah A.S. karena sering digunakan oleh penjahat untuk menyembunyikan dana mereka.
Yearn Finance Menyelidiki Insiden
Setelah peretasan ini, tim Yearn Finance merilis pernyataan resmi, mengkonfirmasi bahwa mereka sedang menyelidiki eksploitasi yang melibatkan kumpulan yETH tertentu.
Namun, mereka memastikan bahwa Yearn Vaults mereka, yang mengelola lebih dari setengah miliar dolar, sama sekali tidak terpengaruh. Isolasi masalah ini mencegah bencana yang jauh lebih besar. Yearn mengklarifikasi bahwa yETH adalah indeks eksperimental yang beroperasi secara terpisah dari sistem vault aman utama mereka.
Ini bukan pertama kalinya Yearn Finance mengalami serangan siber. Kembali pada April 2023, protokol tersebut mengalami eksploitasi serupa karena kontrak lama dan usang, yang memungkinkan penyerang mencuri $11 juta.
Sumber: https://www.cryptonewsz.com/yearn-finance-hack-3-m-lost-yeth-exploit/
