- YearnFinanceV1 erlitt einen Ausbeutungsvorfall über 300.000 USD, nachdem Angreifer ein falsch konfiguriertes veraltetes TUSD-Vault unter Verwendung von Flash-Krediten und Preisverzerrungen manipuliert hatten.
- Ermittler verknüpften den Angriff mit früheren Yearn-Schwachstellen; die Mittel stecken in unveränderlichen Verträgen, die nicht gepatcht oder zurückgewonnen werden können.
- Der Vorfall fügt sich einer wachsenden Liste von DeFi-Ausbeutungen hinzu, die auf veraltete Verträge abzielen, darunter ein kürzlicher Angriff im Wert von 2,7 Millionen USD auf die alte Ribbon-Finance-Implementierung von Aevo.
Eine Legacy-Version des dezentralen Finanzprotokolls Yearn hat einen Exploit erlitten, was die Bedenken bezüglich falsch konfigurierter und unveränderlicher Smart Contracts wieder aufleben lässt, die Jahre nach ihrer Abschaltung noch Gelder im Netzwerk halten.
In einem X-Post am Mittwoch berichtete das Sicherheitsunternehmen PeckShield, dass der Hack von YearnFinanceV1 zu Verlusten von etwa 300.000 US-Dollar geführt habe. Die gestohlenen Mittel wurden in 103 Ether getauscht und befinden sich nun unter der Adresse 0x0F21…4066, so Etherscan-Bilder, die vom Unternehmen geteilt wurden.
#PeckShieldAlert YearnFinanceV1 @yearnfi hat einen Exploit erlitten, was zu einem Totalverlust von ca. 300.000 US-Dollar führte.
Der Angreifer hat die gestohlenen Mittel in 103 $ETH getauscht, die sich nun in der Adresse befinden: 0x0F21…4066. pic.twitter.com/KeyfTLKRHx
— PeckShieldAlert (@PeckShieldAlert) Dezember 17, 2025
Die Hacker nutzten eine veraltete Yearn-Vault, die an TrueUSD gebunden ist, bekannt als „iearn TUSD vault“, die trotz der Verdrängung durch neuere Versionen noch auf Ether bereitgestellt ist. Ein Konfigurationsfehler half den Angreifern, die Anteilspreise durch mehrere Transaktionen zu manipulieren.
Yearn Finance falsch konfigurierter Vault löste Preismmanipulation aus
Laut einer Analyse des pseudonymen Krypto-Forschers und Alumni der University of Science and Technology of China, Weilin Li, konfigurierte der Vault eine seiner Strategien als Fulcrum sUSD-Vault und berechnete seinen Anteilspreis nur anhand des eingezahlten sUSD-Bestands.
Dies öffnete die Tür zu sogenannten „Donation Attacks“, bei denen ein Angreifer Vermögenswerte direkt in einen Vault überträgt, um die Buchhaltungsmetriken zu verzerren. Nach dem Senden von Fulcrum sUSD-Token in den Yearn TUSD Vault konnten die Täter den gemeldeten Anteilspreis des Vaults künstlich aufblähen.
Das Problem wurde durch eine Rebalance-Funktion verschärft, die alle zugrunde liegenden Vermögenswerte in sUSD abhebt, einer Asset-Klasse, die nicht in die Berechnung des Vault-Anteilspreises einbezogen ist. Als die Rebalance begann, stürzte der Anteilspreis des Vaults steil ab und verursachte einen „Preisschock“.
Laut dem Etherscan-Snapshot von PeckShield Alert führte der Angreifer sequenzierte Flash-Loans aus, indem er zunächst große Mengen an TUSD und sUSD ohne vorherige Sicherheiten auslieh. Anschließend deponierte er sUSD, um Fulcrum sUSD-Token zu minten, bevor er TUSD in den Yearn TUSD Vault einzahlte.
Zu diesem Zeitpunkt bestand der gesamte zugrunde liegende Bestand des TUSD-Vaults aus Fulcrum sUSD-Token. Der Angreifer hob vom Yearn TUSD Vault ab und rief die Rebalance-Funktion auf, wodurch Fulcrum gezwungen wurde, alles in sUSD einzulösen. Da sUSD von der Anteilspreisberechnung ausgeschlossen war, brach die Buchhaltung des Vaults zusammen, was den Anteilspreis effektiv gegen null trieb.
Der Angreifer übertrug anschließend einen kleinen Betrag an TUSD zurück in den Vault, wodurch der Anteilspreis auf extrem niedrige Niveaus gedrückt wurde, und münzte eine überproportionale Anzahl an Yearn TUSD-Token zu minimalen Kosten. Er verbuchte letztlich Gewinne, indem er die billig erworbenen Yearn TUSD-Token auf Curve-Pools verkaufte, Wert von Liquiditätsbereitstellern abzog und anschließend die Flash-Loans zurückzahlte.
Yearn Finance fasst 2023-Schwachstelle zusammen, Forscher erzählt
Forscher Li stellte fest, dass der Exploit einem Angriff aus dem Jahr 2023 ähnelte, der zu Verlusten von über 10 Millionen US-Dollar führte. Der in jenem früheren Vorfall angegriffene unveränderliche yUSDT-Contract wurde vor mehr als drei Jahren bereitgestellt, in den frühen Tagen von iearn, als der verstorbene Andre Cronje das Protokoll leitete.
Nur zur Ergänzung: Dies ist genau derselbe Angriffsvektor wie beim letzten Mal: https://t.co/MKfn7kikJ7
— Weilin (William) Li (@hklst4r) Dezember 16., 2025
Pessimistische Sicherheitsanalysten hatten zuvor in den sozialen Medien vor der Schwachstelle gewarnt, aber da unveränderliche Smart Contracts einmal bereitgestellt nicht gepatcht oder pausiert werden können, war es unvermeidlich.
„iearn finance, Smoothswap, seid vorsichtig. Diese Adresse 0x5bac20…ed8e9cdfe0 hat 10 ETH von Tornado erhalten und deployt Contracts mit Flashloans unter Verwendung eurer Adressen“, schrieb PS’ Nikiti Kirillov.
Ein Yearn Ein Teammitglied von Yearn, bekannt als storming0x, gab zu, dass der Angriff stattgefunden habe, und versicherte den Nutzern, dass ihre aktuellen Contracts sicher seien. Doch Rekt News Beobachter gab stellten fest, dass es 1.156 Tage dauerte, bis das DeFi-Protokoll eine multimillionenschwere Schwachstelle entdeckte.
Der Yearn yUSDT-Token-Contract generierte Erträge aus einem Korb von ertragbringenden Positionen, einschließlich USDT-Einzahlungen auf Aave, Compound, dYdX und Fulcrum von BzX. Seit der Einführung enthielt yUSDT jedoch einen Copy-and-Paste-Fehler, der die Fulcrum USDC-Adresse anstelle des Fulcrum USDT-Contracts referenzierte.
Mit nur 10.000 USDT konnten die Hacker etwa 1,2 Quadrillionen yUSDT münzen und so Wert aus dem System abfließen lassen, bevor sie ausstiegen.
Der Vorfall bei Yearn kommt weniger als eine Woche nach Cryptopolitan stellte Cryptopolitan einen Abfluss von 2,7 Millionen US-Dollar aus einem alten Vertrag von Ribbon Finance, der umbenannten Version von Aevo, vor. Dieser Angriff beinhaltete wiederholte Interaktionen mit einem Proxy-Admin-Vertrag an der Adresse 0x9D7b…8ae6B76. Der Angreifer rief Funktionen wie transferOwnership und setImplementation auf, um Preis-Feed-Proxys über Delegate-Calls zu manipulieren.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Florence Muchai
Florence berichtet seit sechs Jahren über Kryptowährungen, Gaming, Technologie und KI. Ihr Studium der Computerwissenschaften an der Meru University of Science and Technology sowie ihr Studium im Bereich Katastrophenmanagement und internationale Diplomatie an der MMUST haben sie umfassend mit Sprach-, Beobachtungs- und technischen Fähigkeiten ausgestattet. Florence war bei der VAP Group tätig und arbeitete als Redakteurin für mehrere Krypto-Medienhäuser.
