yETH от Yearn Finance стал жертвой масштабного взлома. Злоумышленники перевели ETH на $3 млн через Tornado Cash.

Обзор эксплойта yETH

Yearn Finance — ведущий децентрализованный финансовый (DeFi) протокол — столкнулся с серьезным инцидентом безопасности, затронувшим продукт yETH. Атака выявила уязвимость, позволившую без ограничений выпускать токены и дала злоумышленникам возможность вывести весь пул yETH одной транзакцией. Этот сложный эксплойт вновь подчеркнул актуальные проблемы безопасности DeFi и поставил вопрос о надежности смарт-контрактов.

yETH реализует инновационный подход к ликвидному стейкингу — это индексный токен, объединяющий разные ликвидные версии стейкинга Ethereum (ETH). yETH состоит из нескольких деривативов ликвидного стейкинга Ethereum (LSD), что позволяет пользователям получать диверсифицированный доступ к различным протоколам стейкинга. Корзинный формат помогает снизить риски при сохранении ликвидности застейканных активов.

Yearn Finance быстро подтвердил инцидент через официальные источники и заверил пользователей, что основные хранилища V2 и V3 остались защищены и не пострадали от эксплойта. Это разграничение важно, так как в этих хранилищах сосредоточены значительные средства пользователей и они составляют основную продуктовую линейку протокола. Локализация уязвимости только в yETH предотвратила более масштабные последствия для всей платформы.

По данным блокчейн-аналитики, эксплойт позволил выпустить практически неограниченное количество токенов yETH. Злоумышленники затем организованно вывели миллионы долларов из связанных пулов Balancer, обеспечивающих ликвидность для торговли yETH. Высокая точность и скорость атаки указывают на глубокую техническую компетентность и тщательную подготовку преступников.

Финансовый ущерб оказался крупным — злоумышленники вывели примерно 1 000 ETH, что на момент атаки составляло около $3 млн. Для сокрытия следов средства были проведены через Tornado Cash — сервис микширования криптовалют, разрывающий связь между исходными и целевыми адресами, чтобы повысить приватность транзакций. Такой подход часто используется хакерами для усложнения возврата и обхода правоохранителей.

Первым атаку обнаружил исследователь безопасности блокчейна Togbe, который выявил необычные «тяжелые транзакции» с участием нескольких токенов ликвидного стейкинга (LST). Затронутые протоколы включали Yearn, Rocket Pool, Origin и Dinero, что указывает на скоординированный характер атаки против широкой экосистемы ликвидного стейкинга. Раннее обнаружение повысило информированность сообщества, хотя предотвратить эксплойт не удалось.

Инцидент с yETH акцентировал внимание на безопасности DeFi

Техническая сторона атаки показала сложные методы, использовавшие уязвимости в архитектуре смарт-контрактов. В эксплойте были задействованы несколько новых смарт-контрактов, созданных специально для атаки. Они проводили вредоносные транзакции и сразу же самоуничтожались, стирая прямые доказательства из блокчейна и затрудняя проведение анализа. Самоуничтожение — распространенная техника, позволяющая злоумышленникам скрывать следы и усложнять расследование.

Хотя точные потери еще уточняются, предварительная оценка показала, что до атаки пул yETH содержал примерно $11 млн. Разница между этой суммой и $3 млн, выведенными злоумышленниками, указывает на то, что часть средств осталась заблокированной или не все активы удалось вывести. Для точной оценки ущерба необходим полный аудит всех затронутых смарт-контрактов и пулов ликвидности.

Реакция DeFi-сообщества на эксплойт была неоднозначной и отразила продолжающиеся дебаты о практике безопасности в децентрализованных финансах. Некоторых пользователей обеспокоило, что Yearn Finance использует устаревшие архитектуры смарт-контрактов, и они поставили под сомнение своевременность обновления инфраструктуры безопасности для устранения известных уязвимостей. Другие защищали протокол, отмечая, что даже тщательно аудированный код может содержать скрытые проблемы, выявляющиеся только после атаки.

Этот случай — не первый инцидент безопасности в Yearn Finance. В 2021 году протокол был взломан, и хранилище yDAI потеряло $11 млн. Тогда злоумышленнику удалось вывести около $2,8 млн до устранения уязвимости. Повторение подобных инцидентов вызывает вопросы к процессам аудита безопасности и эффективности управления уязвимостями.

В декабре 2023 года Yearn Finance также обнаружил ошибочный скрипт, который случайно уничтожил 63% одной позиции казначейства. Это не было злонамеренной атакой, но показало, что технические ошибки — как внешние, так и внутренние — способны приводить к существенным финансовым потерям. Совокупность этих случаев усилила требования к более тщательному тестированию, формальной верификации смарт-контрактов и усиленному мониторингу безопасности.

Эксплойт yETH иллюстрирует масштабные вызовы, стоящие перед индустрией DeFi. С ростом сложности и интеграции протоколов увеличивается поверхность атаки, появляются новые возможности для эксплуатации. Ликвидные деривативы стейкинга, несмотря на функциональные преимущества, добавляют дополнительные уровни взаимодействия смарт-контрактов, требующих надежной защиты. Каждый элемент интеграции и компоновки — потенциальная уязвимость, требующая детального анализа безопасности.

Использование Tornado Cash злоумышленниками подчеркивает проблемы регулирования криптовалют и правоохранительной практики. Хотя микшеры используются для легального обеспечения приватности, они также часто применяются для отмывания похищенных средств. Двойная роль этих сервисов вызывает напряжение между сторонниками приватности и регуляторами, стремящимися противодействовать финансовым преступлениям в криптосфере.

Инцидент напоминает о важности безопасности при разработке DeFi-протоколов. Протоколы должны проводить комплексные аудиты, запускать программы баг-баунти для стимулирования поиска уязвимостей, а также поддерживать быструю реакцию на новые угрозы. Сообществу DeFi необходимо формировать культуру осознанного отношения к безопасности, чтобы пользователи понимали риски и принимали взвешенные решения о размещении средств.

Взлом yETH показывает, что даже устоявшиеся протоколы с широкой пользовательской базой уязвимы перед сложными атаками. По мере развития DeFi-экосистемы отрасли предстоит создавать более устойчивые системы безопасности, совершенствовать реагирование на инциденты и повышать прозрачность практик, чтобы укреплять доверие и обеспечивать долгосрочную устойчивость децентрализованных финансов.

FAQ

Каковы детали атаки на Yearn Finance yETH?

30 ноября хранилище yETH Yearn Finance подверглось атаке хакеров, которые похитили около 1 000 ETH на сумму примерно $3 млн и перевели украденные ETH через Tornado Cash.

Сколько средств было похищено и в безопасности ли средства пользователей?

В результате атаки было похищено около $3 млн в ETH. Пользовательские средства защищены, так как протокол реализует надежные механизмы безопасности и страхования для защиты депозитов.

Почему злоумышленники перевели украденные ETH через Tornado Cash?

Атакующие воспользовались Tornado Cash для смешивания и сокрытия украденных средств. Миксер разрывает цепочку транзакций, что затрудняет отслеживание происхождения и назначения ETH, обеспечивает приватность и препятствует возврату средств.

Что такое yETH и чем он отличается от ETH?

yETH — это токен ERC-20, привязанный к ETH, позволяющий использовать активы в разных блокчейнах с сохранением паритета 1:1. В отличие от нативного ETH, yETH можно свободно переводить между сетями и интегрировать в DeFi-протоколы.

Каковы последствия этого инцидента для Yearn Finance и всей экосистемы DeFi?

Инцидент привел к прямым финансовым потерям Yearn Finance, нанес ущерб репутации и вызвал обеспокоенность в DeFi относительно безопасности протоколов и уязвимостей смарт-контрактов, что влияет на доверие к платформам доходного фарминга.

Как пользователям защитить свои средства в DeFi и какие меры следует предпринять?

Используйте защищенные кошельки, не раскрывайте приватные ключи, включайте двухфакторную аутентификацию, проверяйте аудит смарт-контрактов, начинайте с небольших сумм, регулярно отслеживайте активность и диверсифицируйте средства между разными протоколами.

Как Yearn Finance реагирует на атаку и будет ли компенсация пользователям?

Yearn Finance объявил о компенсации пострадавшим пользователям за потери от взлома. Протокол ведет работу по возврату средств с помощью блокчейн-аналитики и сотрудничества с правоохранительными органами. Полная информация о компенсациях будет предоставлена по мере продвижения процесса возврата.