Yearn Finance inicia la recuperación tras hackeo de $9M, devolverá $2.39M a depositantes
- Yearn Finance inicia la recuperación de activos tras un exploit de 9 millones de dólares el 30 de noviembre.
- El protocolo recuperó con éxito 2,39 millones de dólares mediante esfuerzos coordinados de recuperación junto a equipos socios.
- El hackeo atacó una piscina legacy de stableswap yETH utilizando una vulnerabilidad de acuñación infinita.
Yearn Finance ha iniciado el proceso de recuperación de los fondos que fueron robados cuando una explotación de $9 millones afectó a su pool stableswap yETH el 30 de noviembre.
El protocolo DeFi anunció que recuperó con éxito activos por valor de $2.39 millones, los cuales serán devueltos a los depositantes afectados.
Según lo reportado por Cryptopolitan, la explotación ocurrió a las 21:11 UTC y apuntó a una versión personalizada del código stableswap. Yearn Finance confirmó que sus productos principales de bóvedas V2 y V3 no se vieron afectados por el incidente y permanecen seguros para los usuarios.
Yearn Finance recupera $2.39 millones en esfuerzo coordinado
El protocolo anunció la recuperación de 857.49 pxETH, valorados en $2.39 millones, a través de una operación colaborativa con los equipos de Plume y Dinero. Yearn Finance declaró que el proceso de recuperación aún está en curso y que cualquier otro activo recuperado será devuelto a los depositantes afectados.
La operación de recuperación llega apenas unos días después de la explotación inicial. Una sala de guerra con SEAL911 y el socio de auditoría ChainSecurity permanece activa mientras continúa la investigación completa del post-mortem. La respuesta de seguridad implica rastrear el movimiento de los activos robados y trabajar para prevenir mayores pérdidas.
Actualización de yETH: Con la asistencia de los equipos de Plume y Dinero, se realizó una recuperación coordinada de 857.49 pxETH ($2.39m). Los esfuerzos de recuperación continúan activos e ininterrumpidos. Cualquier activo recuperado con éxito será devuelto a los depositantes afectados.https://t.co/xaClNhd0C0
— yearn (@yearnfi) Diciembre 1, 2025
Desglose de la explotación de $9 millones
Colectivamente, los dos pools perdieron alrededor de $9 millones. El impacto más fuerte lo sufrió el pool stableswap afectado, que perdió unos $8 millones. Curve también sufrió daños, ya que el pool Stableswap yETH-WETH fue drenado por otros $900,000.
El atacante utilizó una vulnerabilidad que le permitía acuñar una gran cantidad de tokens yETH. Según el análisis inicial de Yearn Finance, el hacker acuñó aproximadamente 235 billones de yETH sin proporcionar la garantía necesaria.
Al utilizar el saldo de tokens inflado, el atacante pudo intercambiar el yETH sin respaldo por activos legítimos de staking líquido como stETH, rETH y cbETH del pool stableswap y Ethereum envuelto del pool de Curve.
Vulnerabilidad expuesta en el pool heredado
Este contrato era una versión personalizada de uno de los códigos stableswap populares y era independiente del resto de los productos de Yearn Finance. El protocolo enfatizó que ningún otro producto de Yearn utiliza código similar al que fue comprometido en el ataque.
La vulnerabilidad involucraba un contrato heredado más antiguo relacionado con el token yETH. Esto permitió al atacante acuñar nuevos tokens sin la garantía de respaldo necesaria, creando esencialmente tokens de la nada.
Yearn Finance explicó que el análisis inicial sitúa este hackeo en un nivel de complejidad similar al reciente exploit de Balancer. El pool stableswap yETH no estaba conectado a la infraestructura principal de las bóvedas V2 y V3 de Yearn, lo que ayudó a aislar el hackeo y, por tanto, a evitar que la explotación se extendiera a sus productos principales.
El atacante lava los fondos a través de un mezclador
El atacante, dentro de las horas siguientes a la explotación, comenzó a mover los activos robados para oscurecer su rastro. Aproximadamente 1,000 ETH, valorados en unos $3 millones, fueron transferidos posteriormente al servicio de mezcla de criptomonedas Tornado Cash.
A partir del 1 de diciembre, aproximadamente $6 millones de los fondos robados permanecían en la dirección de billetera del atacante 0xa80d.c822. Los fondos restantes estaban compuestos principalmente por derivados de ETH en staking que aún no habían sido lavados.
El equipo de Yearn Finance emitió declaraciones claras indicando que los productos principales de sus bóvedas no eran susceptibles a la explotación. Las bóvedas V2 y V3 residen en un contrato inteligente separado, con una base de código diferente a la del pool heredado afectado.
Los usuarios que tenían fondos en las bóvedas V2 y V3 de Yearn no tuvieron que hacer nada. El protocolo explicó que el incidente ocurrido el 30 de noviembre afectó solo a los depositantes del pool stableswap yETH en particular.
Incidentes de seguridad cripto en noviembre
El hackeo a Yearn Finance cerró un mes difícil para la seguridad cripto. Noviembre de 2025 vio pérdidas de casi $200 millones en múltiples plataformas y protocolos de alto perfil.
El incidente más grande del mes fue una explotación de $134 millones en Balancer, causada por un error de redondeo en la lógica del contrato inteligente. El exchange surcoreano Upbit sufrió una compromiso de su billetera caliente que resultó en pérdidas entre $30 millones y $38 millones.
Otros incidentes de noviembre incluyeron una toma de control de contrato inteligente por $3.1 millones en GANA Payment y pérdidas de aproximadamente $5 millones en Hyperliquid debido a la manipulación de precios.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Vignesh Karunanidhi
Vignesh es escritor de contenido cripto, periodista cripto, editor de contenido y gestor de redes sociales. Ha trabajado con Watcher.guru, BeInCrypto, CoinGape, Milkroad y Airdrops durante más de 6 años. Sus habilidades para cubrir noticias de tecnología, robótica, negocios e inteligencia artificial se perfeccionaron gracias a una maestría en Comercio.
