Yearn Finance докладно описав атаку на yETH з використанням вразливості на 9 мільйонів доларів, підтвердив часткове відновлення активів і оприлюднив план усунення недоліків

Odaily星球日报 повідомляє, що Yearn Finance опублікував детальний постфактум-звіт щодо минулотижневої атаки на yETH через вразливість, вказавши на наявність трьохетапної числової помилки в успадкованому пулі ліквідності stableswap. Ця помилка дозволила зловмиснику “безкінечно карбувати” LP-токени та викрасти з пулу близько 9 мільйонів доларів активів. Yearn підтвердив, що за допомогою команд Plume та Dinero вдалося успішно повернути 857,49 pxETH, що становить приблизно чверть викрадених активів. Команда планує пропорційно розподілити повернуті кошти між вкладниками yETH. Децентралізований фінансовий протокол зазначає, що атака відбулася на блоці 23,914,086 30 листопада 2025 року, коли зловмисник за допомогою складної послідовності операцій змусив внутрішній парсер пулу ліквідності увійти у стан розбіжності та зрештою спричинив арифметичне переповнення вниз. Ціллю атаки був кастомний stableswap-пул, який агрегує різні ліквідні стейкінгові токени (LSTs), а також пул yETH/WETH Curve. Yearn підкреслює, що їхні v2 та v3 сейфи й інші продукти не постраждали. Для вирішення цих проблем Yearn оголосив план виправлень, який включає впровадження чіткої перевірки домену на парсері, заміну небезпечної арифметики на перевірену у критичних частинах коду та вимкнення логіки ініціалізації після запуску пулу.