Yearn Finance semble avoir été attaqué, un Hacker a déjà envoyé 1 000 ETH de fonds volés à Tornado Cash

Le 1er décembre, selon The Block, Yearn Finance semble avoir été attaqué, son produit Yearn Ether (yETH) qui agrège les jetons LST (jetons de staking liquide) populaires a été volé pour plusieurs millions de dollars d'actifs LST. Les données de la blockchain montrent que l'attaquant a exploité une vulnérabilité soigneusement conçue pour frapper presque une quantité illimitée de jetons yETH en une seule transaction, vidant ainsi complètement le pool. La transaction d'attaque a entraîné l'envoi de 1 000 ETH (environ 3 millions de dollars au prix actuel) au protocole de mélange Tornado Cash. Cette attaque impliquait plusieurs nouveaux contrats intelligents déployés, dont certains se sont auto-détruits après la transaction. Il n'est pas encore clair quelle est l'ampleur exacte des pertes, mais avant l'attaque, la taille du pool yETH était d'environ 11 millions de dollars. Ce comportement de hacker a été découvert pour la première fois par un utilisateur X, Togbe, qui a remarqué cette attaque en surveillant les gros transferts. “Le transfert net montre que la surproduction de yETH a permis à l'attaquant d'épuiser le pool de fonds d'une manière ou d'une autre, et d'en tirer environ 1000 ETH de bénéfice,” a déclaré Togbe dans un message. “Pour une raison quelconque, une partie de l'ETH a été sacrifiée dans le processus, mais ils ont finalement quand même réalisé un profit.” “Nous enquêtons sur l'incident impliquant le pool d'échange stable yETH LST,” a déclaré Yearn sur X, “les Vault V2 et V3 de Yearn ne sont pas affectés.” Yearn Finance avait déjà subi une attaque en 2021, touchant son coffre yDAI, avec une perte de 11 millions de dollars, le hacker ayant finalement réalisé un bénéfice de 2,8 millions de dollars. En décembre 2023, le protocole a perdu 63 % d'une position dans l'un de ses coffres en raison d'une erreur de script, mais les fonds des utilisateurs n'ont pas été affectés. Le fondateur de Yearn, Andre Cronje, a créé le projet en 2020 et est parti deux ans plus tard.