Yearn Finance の YETH トークンが不正利用され、トルネードキャッシュで 300 万ドルを失う 🤯

ああ、宇宙ね。かなり大きな場所ですね。そしてどうやら、ここは Yearn Finance にとってもかなり悪い場所であるようだ。 Yearn Finance は非常に生意気なエクスプロイトの被害に遭ったばかりで、おそらく今自分の銀行口座を確認しているところだろう。 🤯💥

Yearn Finance は、攻撃者が同社の yETH トークン契約を悪用し、バランサープールから数百万ドルの ETH と流動性ステーキング資産を流出させた後、新たなセキュリティ侵害に対処しています。ブロックチェーンが本当に悪いアイデアだったのではないかと思わせるような侵害です。 🧠

このエクスプロイトは古い yETH 契約をターゲットにしていましたが、これに性格があるとしたら、おそらく冷蔵庫のドアを開けっ放しにして牛乳のせいにするような人物でしょう。 🥛
攻撃直後には約 1,000 ETH が Tornado Cash を介して移動し、さらに多くの資産が攻撃者のウォレットにまだ保持されていました。これまで謎めいた人物だったトルネードキャッシュは、姿を消したいなら計画だけではなく、ブロックチェーンが必要であることを改めて証明しました。 🕵️‍♂️
Yearn 氏は、この問題が V2 および V3 Vault から分離されていることを確認し、このインシデントに関する詳細なレポートを準備中です。 90％が絵文字、10％が実際の情報で構成されたツイートほど「まったく心配していません」と言えるものはないからです。 🤡

この事件は、攻撃者が yETH コントラクト内に無限ミントの欠陥を引き起こした 11 月 30 日遅くに発生しました。その後、彼らは 1 回の取引で 235 兆トークンを超える、ありえないほど大量の yETH を鋳造しました。銀行口座がいっぱいだと思ったら大間違いです。これは別の種類のフルでした。 💸

これらのトークンを使用して、攻撃者はバランサープールを迅速に移動し、ETH や人気のステーキングデリバティブを含む実物資産を削除しました。初期の追跡では、悪用直後に Tornado Cash を介して 300 万ドル近くが流れていることが示されていますが、攻撃者のアドレスにはイベントに関連する追加の資産がまだ保持されています。これまで謎めいた人物だったトルネードキャッシュは、姿を消したいなら計画だけではなく、ブロックチェーンが必要であることを改めて証明しました。 🕵️‍♂️

従来の yETH 製品に隔離されたエクスプロイト

ブロックチェーンデータによると、yETHのステーブルスワッププールが数分以内に空になり、約280万ドルの穴が残ったことが示されています。 Yearn Finance（YFI）は、この問題はyETHの古い実装内に存在し、V2またはV3のVaultには影響しないと述べた。 Katana を含む Yearn V3 上に構築されたプロトコルでも、エクスポージャーは報告されていません。それは、年老いたETHがパーティーにナイフを持ってきた奇妙ないとこであり、他の誰もが巻き込まれなくてよかったと思っているようなものです。 🤷‍♂️

私たちは yETH LST ステーブルスワッププールに関連するインシデントを調査しています。

yearn Vault (V2 と V3 の両方) は影響を受けません。

– yearn (@yearnfi) 2025 年 11 月 30 日

いくつかのヘルパー契約は攻撃の直前に出現し、プールが空になると自爆の呼びかけによって消滅し、痕跡を追跡するのが困難になりました。まるで彼らは幽霊のようですが、幽霊にも計画がありました。 👻

Yearn の古い製品を追跡する監査人を含むトランザクションを調査したセキュリティチームは、この出来事を Yearn の現在のボールトアーキテクチャの問題ではなく、yETH トークンロジック内の長年にわたるミントの脆弱性と関連付けました。なぜなら、10年前から今も混乱を引き起こしているバグほど「私たちは安全です」と言えるものはないからです。 🧨

このプロトコルは、重大な発見に対して 20 万ドルに達する賞金を与えるライブバグ報奨金プログラムを維持していますが、回復方法はまだ発表されていません。なぜなら、損失額よりも少ない報酬を提供することほど「セキュリティに真剣に取り組んでいる」ことを示すものはないからです。 💸

流動性流出後、オンチェーンの動きが激化

プールが崩壊した直後、X ユーザーの Togbo は、Tornado Cash を通過する 100 ETH バッチのいくつかの動きにフラグを立てました。エクスプロイト後の数時間で合計約 1,000 ETH が混入しました。攻撃者は依然として複数のウォレットに数百万ドル相当の追加資産を保持しています。攻撃者は「誰かに気づかれる前に何回100万ドルを隠せるか？」というゲームをしているようなものです。答えは「かなり多い」です。 🎯

竜巻との激しい相互作用を考慮したエクスプロイトのように見えるその他のバランサー関連のもの

イヤーン、ロケットプール、オリジン、ディネロ、その他の LST が周回している

– Togbe (@Togbe0x) 2025 年 11 月 30 日

yETHプールには侵害前に約1100万ドルが保管されており、最終的な損失額はまだ精査中だが、アクティブな保管庫内のユーザー資金は安全であるとイヤーン氏は述べた。なぜなら、300万ドルを失ったにもかかわらず、すべてが順調であると主張するプロトコルほど「私たちは信頼できる」と言えるものはないからです。 🤝

このインシデントは、2021年のyDAIエクスプロイトと預金者に影響を与えなかった2023年の財務省の設定ミスから数年後、レガシーリスクを管理するプロトコルの長年の記録に追加されるものである。 YFIはイベント後約4%下落し、本記事執筆時点では4,002ドル近くで取引されていた。結論として、Yarn Finance は基本的に、屋根が雨漏りしている家と経済的に同等です。これで世界が終わるわけではありませんが、修理費を自分で支払うのは絶対に避けたいものです。 🏡

2025-12-01 06:31