Yearn Finance beginnt Rückforderung nach 9-Millionen-Dollar-Hack, wird 2,39 Millionen US-Dollar an Einleger zurückgeben

Yearn Finance hat den Rückgewinnungsprozess für Gelder gestartet, die gestohlen wurden, als ein 9-Millionen-Dollar-Exploit seinen yETH-Stableswap-Pool am 30. November traf.

Das DeFi-Protokoll gab bekannt, dass es erfolgreich Vermögenswerte im Wert von 2,39 Millionen US-Dollar zurückgefordert hat, die an die betroffenen Einleger zurückgegeben werden sollen.

Wie von Cryptopolitan berichtet, trat der Exploit um 21:11 UTC auf und zielte auf eine benutzerdefinierte Version des Stableswap-Codes ab. Yearn Finance bestätigte, dass seine Haupt-V2- und V3-Vault-Produkte nicht von dem Vorfall betroffen waren und für Nutzer sicher bleiben.

Yearn Finance erhält $2.39 Millionen in koordinierter Aktion zurück

Das Protokoll kündigte die Rückgewinnung von 857,49 pxETH im Wert von 2,39 Millionen US-Dollar durch eine gemeinsame Operation mit den Plume- und Dinero-Teams an. Yearn Finance erklärte, dass der Rückgewinnungsprozess noch im Gange ist und dass alle anderen zurückgewonnenen Vermögenswerte an die betroffenen Einleger zurückgegeben werden.

Die Rückforderungsoperation erfolgte nur wenige Tage nach dem ursprünglichen Exploit. Ein Krisenstab mit SEAL911 und dem Audit-Partner ChainSecurity ist weiterhin aktiv, während die vollständige Post-Mortem-Untersuchung läuft. Die Sicherheitsreaktion umfasst die Verfolgung der Bewegung gestohlener Vermögenswerte und die Arbeit daran, weitere Verluste zu verhindern.

yETH-Update: Mit der Unterstützung der Plume- und Dinero-Teams wurde eine koordinierte Rückgewinnung von 857,49 pxETH (2,39 Mio. $) durchgeführt. Die Rückgewinnungsbemühungen bleiben aktiv und andauernd. Erfolgreich zurückgewonnene Vermögenswerte werden an die betroffenen Einleger zurückgegeben.https://t.co/xaClNhd0C0

— yearn (@yearnfi) Dezember 1, 2025

Die Aufschlüsselung des $9-Millionen-Exploits

Insgesamt verloren die beiden Pools etwa 9 Millionen US-Dollar. Der schwerste Schaden traf den betroffenen Stableswap-Pool, der etwa 8 Millionen US-Dollar verlor. Auch Curve litt darunter, da der yETH-WETH Stableswap für weitere 900.000 US-Dollar geleert wurde.

Der Angreifer nutzte eine Schwachstelle, die das Mänten einer großen Anzahl von yETH-Token ermöglichte. Laut früher Analyse von Yearn Finance münzte der Hacker etwa 235 Billionen yETH, ohne die erforderliche Sicherstellung zu leisten.

Durch die Verwendung des aufgeblähten Token-Guthabens konnte der Angreifer die nicht gedeckten yETH gegen legitime liquid-staked Vermögenswerte wie stETH, rETH und cbETH aus dem Stableswap-Pool sowie gegen gewrapptes Ethereum aus dem Curve-Pool tauschen.

Schwachstelle im Legacy-Pool offengelegt

Dieser Vertrag war eine angepasste Version eines der beliebten Stableswap-Codes und stand unabhängig von den restlichen Yearn Finance-Produkten. Das Protokoll betonte, dass kein anderes Yearn-Produkt ähnlichen Code verwendet, der im Angriff kompromittiert wurde.

Die Schwachstelle betraf einen älteren Legacy-Vertrag im Zusammenhang mit dem yETH-Token. Dies ermöglichte es dem Angreifer, neue Token ohne die erforderliche Sicherstellung zu münzen, was im Wesentlichen bedeutete, Token aus dem Nichts zu erschaffen.

Yearn Finance erklärte, dass die erste Analyse diesen Hack auf ein ähnliches Komplexitätsniveau wie den jüngsten Balancer-Exploit einordnet. Der yETH-Stableswap-Pool war nicht mit der Haupt-Yearn-V2- und V3-Vault-Infrastruktur verbunden, was half, den Hack zu isolieren und somit zu verhindern, dass sich der Exploit auf seine Kernprodukte ausbreitete.

Angreifer wäscht Gelder über einen Mixer

Der Angreifer begann innerhalb von Stunden nach dem Exploit, die gestohlenen Vermögenswerte zu bewegen, um seine Spur zu verwischen. Etwa 1.000 ETH, im Wert von rund 3 Millionen US-Dollar, wurden anschließend in den Krypto-Mixing-Dienst Tornado Cash transferiert.

Stand 1. Dezember befanden sich noch etwa 6 Millionen US-Dollar der gestohlenen Gelder in der Wallet-Adresse des Angreifers 0xa80d.c822. Der Rest bestand hauptsächlich aus gestaketen ETH-Derivaten, die noch nicht gewaschen wurden.

Das Yearn Finance-Team gab klare Erklärungen ab, die darauf hinweisen, dass die Kernprodukte ihrer Vaults nicht anfällig für den Exploit waren. V2- und V3-Vaults liegen in einem separaten Smart Contract, dessen Codebasis sich von dem des betroffenen Legacy-Pools unterscheidet.

Nutzer, die Guthaben in Yearn V2- und V3-Vaults hatten, mussten nichts tun. Das Protokoll erklärte, dass der Vorfall am 30. November nur Einleger im spezifischen yETH Stableswap-Pool betraf.

Kryptosicherheitsvorfälle im November

Der Yearn-Finance-Hack beendete einen schwierigen Monat für die Krypto-Sicherheit. November 2025 sah fast 200 Millionen US-Dollar an Verlusten über mehrere hochkarätige Plattformen und Protokolle hinweg.

Der größte Vorfall des Monats war ein 134-Millionen-Dollar-Exploit von Balancer, verursacht durch einen Rundungsfehler in der Smart-Contract-Logik. Die südkoreanische Börse Upbit litt unter einer Kompromittierung einer Hot Wallet, was zu Verlusten zwischen 30 und 38 Millionen US-Dollar führte.

Zu den anderen Vorfällen im November gehörten eine Smart-Contract-Übernahme im Wert von 3,1 Millionen US-Dollar bei GANA Payment und Verluste in Höhe von etwa 5 Millionen US-Dollar bei Hyperliquid aufgrund von Preismanipulation.