扫码下载 APP
qrCode
更多下载方式
今天不再提醒

Yearn Finance yETH 故障触发 $3 Million 流失到 Tornado 现金

image

资料来源:CoinEdition 原标题:Yearn Finance yETH 故障触发 $3 Million 流失至 Tornado 现金 原文链接: https://coinedition.com/yearn-finance-yeth-exploit-balancer-pool-loss/

无限铸币漏洞

Yearn Finance 的 yETH 合约中的无限铸造漏洞触发了数百万美元的流动性流失,迫使协议隔离受影响的遗留池。攻击者利用该缺陷铸造了 235 万亿个合成代币,立即将毫无价值的供应兑换为真实资产,然后将资金转移到加密混合器。

漏洞机制

该漏洞源于yETH合约,这是一个旨在将stETH和rETH等资产捆绑在一起的流动质押指数。攻击者发现了一个潜在的逻辑缺陷,允许无抵押铸造yETH。

Yearn Finance遭受了一次攻击,导致大约900万美元的总损失。该漏洞涉及铸造近乎无限数量的yETH代币,在一次交易中耗尽了池子。大约1000个ETH (,价值约300万美元),被发送到一个加密混合器,而其他被盗资产仍然保留在与攻击者关联的钱包中。

第一个也是最直接的目标是一个支持 yETH 的 Balancer 流动性池。一旦通货膨胀的代币供应进入该池,利用者就可以大规模提取真实的 ETH 和流动质押衍生品,从一个之前持有近 $11 百万的池中转移价值。初步数据显示,价值约 $3 百万的 ETH 几乎瞬间被盗。

yETH的角色与弱点来源

yETH产品作为一种流动质押指数,旨在将流行的ETH质押代币(如stETH和rETH)整合为一个统一的资产。然而,最近的事件表明,较旧的智能合约逻辑仍然可能包含潜在的弱点。

分析师跟踪这一漏洞指出,这个问题源于yETH实现的先前版本中存在的铸造缺陷。由于这个漏洞开放,攻击者可以在没有任何抵押的情况下创建大量的yETH。

一旦池子失去了支持,攻击者便开始将被盗的ETH分解成更小的部分。大约1000 ETH,约合$3 百万,分批次转入了一个加密混合器。加密混合器模糊了交易路径,这使得链上调查员很难追踪踪迹。区块链记录确认这个过程在攻击发生后不久开始,并以稳定的间隔持续进行。

在攻击期间被盗的其他资产仍然保留在与攻击者相关的钱包中,初步评估显示还有数百万美元的价值尚未转移。

Yearn Finance 响应并评估损失

Yearn Finance 宣布此次漏洞完全存在于 yETH 池中,并未触及其 V2 或 V3 Vaults。这些金库控制着显著更多的资金,从而防止事件演变为更为严重的事件。该协议表示其核心金库仍然完全受到保护且未受该缺陷的影响。

团队已经开始了更深入的技术审查,并得到了外部安全组的支持,以了解漏洞的全貌。初步评估表明,当所有受影响的池子都计算在内时,损失可能达到约$9 百万,尽管立即确认的损失更接近$3 百万。

STETH1.29%
ETH1.32%
BAL0.5%
此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 评论
  • 转发
  • 分享
评论
0/400
暂无评论
交易,随时随地
qrCode
扫码下载 Gate App
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)