- عانق YearnFinanceV1 عملية اختراق بقيمة 300,000 دولار بعد أن استغل المهاجمون خزان TUSD القديم غير المهيأ بشكل صحيح باستخدام القروض الفورية وتشوهات الأسعار.
- ربط المحققون الهجوم بثغرات سابقة في Yearn، حيث تم حصر الأموال في عقود غير قابلة للتغيير لا يمكن إصلاحها أو استعادتها.
- تضيف هذه الحادثة إلى قائمة متزايدة من عمليات الاختراق في مجال التمويل اللامركزي التي تستهدف العقود القديمة، بما في ذلك هجوم حديث بقيمة 2.7 مليون دولار على نشر Ribbon Finance القديم الخاص بـ Aevo.
عانت نسخة قديمة من بروتوكول التمويل اللامركزي Yearn من اختراق، مما أعاد إثارة المخاوف بشأن العقود الذكية غير المهيأة والثابتة التي احتفظت بالأموال على الشبكة لسنوات بعد إيقافها.
في منشور على X يوم الأربعاء، أفادت شركة الأمن PeckShield بأن اختراق YearnFinanceV1 أدى إلى خسائر تبلغ حوالي 300,000 دولار. تم تحويل الأموال المسروقة إلى 103 إيثير وتوجد الآن في العنوان 0x0F21…4066، وفقاً لصور Etherscan التي شاركتها الشركة.
#PeckShieldAlert عانت YearnFinanceV1 @yearnfi من اختراق، مما أدى إلى خسارة إجمالية تبلغ حوالي 300 ألف دولار.
قام المخترق بتحويل الأموال المسروقة إلى 103 $ETH، والتي توجد الآن في العنوان: 0x0F21…4066. pic.twitter.com/KeyfTLKRHx
— PeckShieldAlert (@PeckShieldAlert) ديسمبر 17، 2025
استغل القراصنة خزان Yearn القديم المرتبط بـ TrueUSD، والمعروف باسم "خزان iearn TUSD"، والذي لا يزال مُنشئاً على Ether على الرغم من استبداله بنسخ أحدث. ساعد عيب في التكوين المهاجمين على التلاعب بأسعار الأسهم من خلال عدة معاملات.
خزان Yearn Finance غير المهيأ أدى إلى التلاعب بالأسعار
وفقاً لتحليل من باحث مشفر مجهول الهوية وخريج جامعة العلوم والتكنولوجيا في الصين وايلين لي، قام الخزان بتكوين إحدى استراتيجياته كخزان Fulcrum sUSD وحسب سعر سهمه باستخدام رصيد sUSD المودع فقط.
هذا فتح الباب أمام ما يُعرف بـ "هجمات التبرع"، حيث ينقل المهاجم الأصول مباشرة إلى الخزان لتشويه مقاييس المحاسبة. بعد إرسال رموز Fulcrum sUSD إلى خزان Yearn TUSD، تمكن الجناة من تضخيم سعر سهم الخزان المبلغ عنه بشكل مصطنع.
تفاقمت المشكلة بسبب دالة إعادة التوازن التي تسحب جميع الأصول الأساسية بـ sUSD، وهو أصل غير مدرج في حسابات سعر سهم الخزان. عندما بدأت إعادة التوازن، انخفض سعر سهم الخزان بشكل حاد وخلق "صدمة سعرية".
وفقاً لقطة Etherscan من PeckShield Alert، نفذ المهاجم قروضاً فلاش متسلسلة عن طريق اقتراض مبالغ كبيرة من TUSD وsUSD دون ضمان مسبق. ثم قاموا بإيداع sUSD لصياغة رموز Fulcrum sUSD قبل إيداع TUSD في خزان Yearn TUSD.
في تلك المرحلة، كانت جميع الأصول الأساسية لخزان TUSD تتكون من رموز Fulcrum sUSD. سحب المخترق من خزان Yearn TUSD واستدعى دالة إعادة التوازن، مما أجبر Fulcrum على استرداد كل شيء إلى sUSD. لأن sUSD تم استبعاده من حسابات سعر السهم، انهارت محاسبة الخزان، مما أدى فعلياً إلى دفع سعر السهم نحو الصفر.
ثم نقل المهاجم كمية صغيرة من TUSD مرة أخرى إلى الخزان، مما دفع سعر السهم إلى مستويات منخفضة للغاية، وصاغ عدداً كبيراً من رموز Yearn TUSD بتكلفة ضئيلة. في النهاية، حقق أرباحاً عن طريق بيع رموز Yearn TUSD التي تم شراؤها رخيصة على أحواض Curve، مستخرجاً القيمة من مقدمي السيولة قبل سداد القروض الفلاش.
Yearn Finance يلخص 2023 الثغرة، الباحث يروي
وجد الباحث لي أن الاختراق كان مشابهاً لهجوم نُفذ في عام 2023، مما أدى إلى خسائر تجاوزت 10 ملايين دولار. تم نشر عقد yUSDT الثابت المستهدف في تلك الحادثة السابقة قبل أكثر من ثلاث سنوات، خلال الأيام الأولى لـ iearn عندما كان أندريه كرونج يقود البروتوكول.
لمجرد الإضافة، هذا هو نفس متجه الهجوم تماماً مثل المرة السابقة: https://t.co/MKfn7kikJ7
— وايلين (ويليام) لي (@hklst4r) ديسمبر 16، 2025
أصدر محللو الأمن التشاؤميون تحذيراً بشأن الثغرة على وسائل التواصل الاجتماعي قبل الاختراق، ولكن نظراً لأن العقود الذكية الثابتة لا يمكن تصحيحها أو إيقافها بمجرد نشرها، كان ذلك حتمياً.
"iearn finance، Smoothswap، كنوا حذرين. هذا العنوان 0x5bac20…ed8e9cdfe0 حصل على 10 ETH من Tornado وينشر عقوداً باستخدام قروض فلاش بعنوانكم،" كتب نيكيتي كيريلوف من PS.
تغطية Yearn أقر عضو الفريق المعروف باسم storming0x بحدوث الهجوم وطمن المستخدمين بأن عقودهم الحالية آمنة. ومع ذلك، لاحظ مراقبو Rekt News كشفت أنه استغرق 1,156 يوماً حتى يكتشف بروتوكول DeFi ثغرة متعددة الملايين.
ولد عقد رمز Yearn yUSDT عائدات من سلة من المراكز الحاملة للعائدات، بما في ذلك إيداعات USDT على Aave وCompound وdYdX وFulcrum الخاص بـ BzX. ومع ذلك، منذ الإطلاق، احتوى yUSDT على خطأ في النسخ واللصق يشير إلى عنوان Fulcrum USDC بدلاً من عقد Fulcrum USDT.
باستخدام 10,000 USDT فقط، تمكن القراصنة من صياغة حوالي 1.2 كوينتيليون من رموز yUSDT، مما استنزف القيمة من النظام قبل تصفيتها.
يأتي حادثة Yearn بعد أقل من أسبوع من Cryptopolitan مميّز سحب بقيمة 2.7 مليون دولار من عقد قديم تابع لـ Ribbon Finance، النسخة المعاد تسميتها من Aevo. تضمنت هذه الهجمة تفاعلات متكررة مع عقد وكيل إداري عند العنوان 0x9D7b…8ae6B76. استغل المهاجم دوال مثل transferOwnership وsetImplementation للتلاعب بعقود وسيطة لسوق الأسعار عبر مكالمات التفويض.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
