Yearn Finance terkena eksploitasi yETH dengan $3M dikirim ke Tornado Cash

Yearn Finance sedang menghadapi pelanggaran keamanan baru setelah penyerang mengeksploitasi kontrak token yETH dan menguras jutaan ETH dan aset staking likuid dari pool Balancer.

Insiden ini terjadi pada akhir 30 November ketika penyerang memicu kelemahan pencetakan tak terbatas di dalam kontrak yETH. Mereka kemudian mencetak pasokan yETH yang sangat besar, lebih dari 235 triliun token, dalam satu transaksi. 

Dengan token tersebut, penyerang bergerak cepat melalui pool Balancer, menghapus aset nyata, termasuk ETH dan derivatif staking populer. Jejak awal menunjukkan hampir $3 juta mengalir melalui Tornado Cash segera setelah eksploitasi, sementara alamat penyerang masih menyimpan aset tambahan terkait dengan kejadian tersebut.

Eksploitasi terisolasi pada produk yETH lama

Data blockchain menunjukkan pool stableswap yETH dikosongkan dalam hitungan menit, meninggalkan lubang sekitar $2,8 juta. Yearn Finance(YFI) mengatakan masalah ini berada dalam implementasi yETH yang lebih lama dan tidak menyentuh Vault V2 atau V3-nya. Protokol yang dibangun di atas Yearn V3, termasuk Katana, juga melaporkan tidak ada eksposur.

Beberapa kontrak pembantu muncul hanya beberapa saat sebelum serangan dan menghilang melalui panggilan self-destruct setelah pool dikuras, membuat jejak lebih sulit untuk diikuti.

Tim keamanan yang meninjau transaksi, termasuk auditor yang melacak produk Yearn yang lebih lama, mengaitkan kejadian ini dengan kelemahan pencetakan yang sudah lama ada dalam logika token yETH, bukan masalah dalam arsitektur vault Yearn saat ini.

Protokol ini mempertahankan program hadiah bug langsung dengan hadiah mencapai $200.000 untuk penemuan kritis, meskipun belum ada jalur pemulihan yang diumumkan.

Pergerakan on-chain meningkat setelah pengosongan likuiditas

Segera setelah pool runtuh, pengguna X Togbo menandai beberapa pergerakan batch 100 ETH yang melewati Tornado Cash. Sekitar 1.000 ETH secara total dicampur dalam beberapa jam setelah eksploitasi. Penyerang masih mempertahankan aset tambahan senilai beberapa juta dolar di beberapa dompet.

Pool yETH membawa sekitar $11 juta sebelum pelanggaran, dan sementara angka kerugian akhir masih dalam peninjauan, Yearn mengatakan dana pengguna di dalam vault aktif tetap aman.

Insiden ini menambah catatan panjang protokol dalam mengelola risiko lama, yang terjadi bertahun-tahun setelah eksploitasi yDAI 2021 dan kesalahan konfigurasi treasury 2023 yang tidak mempengaruhi deposan. YFI turun sekitar 4% setelah kejadian dan diperdagangkan mendekati $4.002 pada saat penulisan.