Yearn Finance entame le recouvrement après un piratage de 9 M$, et restituera 2,39 M$ aux déposants

Yearn Finance a entamé le processus de récupération des fonds volés lorsqu'une exploitation de 9 millions de dollars a touché son pool stableswap yETH le 30 novembre.

Le protocole DeFi a annoncé avoir récupéré avec succès des actifs d'une valeur de 2,39 millions de dollars, qui seront restitués aux déposants concernés.

Comme rapporté par Cryptopolitan, l'exploitation a eu lieu à 21h11 UTC et a ciblé une version personnalisée du code stableswap. Yearn Finance a confirmé que ses produits de coffre-fort V2 et V3 principaux n'ont pas été affectés par l'incident et restent sécurisés pour les utilisateurs.

Yearn Finance récupère 2.39 millions de dollars dans le cadre d'un effort coordonné

Le protocole a annoncé la récupération de 857,49 pxETH, évaluée à 2,39 millions de dollars, grâce à une opération collaborative avec les équipes Plume et Dinero. Yearn Finance a déclaré que le processus de récupération est toujours en cours, et que tout autre actif récupéré sera restitué aux déposants concernés.

L'opération de recouvrement intervient quelques jours seulement après l'exploitation initiale. Une salle de crise impliquant SEAL911 et le partenaire d'audit ChainSecurity reste active tandis que l'enquête post-mortem complète se poursuit. La réponse en matière de sécurité implique le suivi des mouvements des actifs volés et des efforts pour prévenir de nouvelles pertes.

Mise à jour yETH : Avec l'aide des équipes Plume et Dinero, une récupération coordonnée de 857,49 pxETH (2,39 M$) a été effectuée. Les efforts de récupération restent actifs et en cours. Tout actif récupéré avec succès sera restitué aux déposants concernés.https://t.co/xaClNhd0C0

— yearn (@yearnfi) décembre 1, 2025

Analyse de l'exploitation de 9 millions de dollars

Collectivement, les deux pools ont perdu environ 9 millions de dollars. L'impact le plus lourd a été subi par le pool stableswap affecté, qui a perdu environ 8 millions de dollars. Curve a également été touché, car le pool Stableswap yETH-WETH a été vidée pour un autre montant de 900 000 dollars.

L'attaquant a exploité une vulnérabilité permettant de créer (mint) un grand nombre de tokens yETH. Selon les premières analyses de Yearn Finance, le pirate a créé environ 235 billions de yETH sans fournir le collatéral nécessaire.

En utilisant le solde de tokens gonflé, l'attaquant a pu échanger les yETH non adossés contre des actifs de staking liquide légitimes tels que stETH, rETH et cbETH provenant du pool stableswap, ainsi que de l'Ethereum enveloppé (wrapped) provenant du pool Curve.

Vulnérabilité du pool legacy exposée

Ce contrat était une version personnalisée d'un des codes stableswap populaires et était indépendant du reste des produits Yearn Finance. Le protocole a souligné qu'aucun autre produit Yearn n'utilise un code similaire à celui compromis dans l'attaque.

La vulnérabilité concernait un contrat legacy plus ancien lié au token yETH. Cela a permis à l'attaquant de créer de nouveaux tokens sans le soutien adéquat en collatéral, créant essentiellement des tokens ex nihilo.

Yearn Finance a expliqué que l'analyse initiale place ce piratage à un niveau de complexité similaire à celui de la récente exploitation de Balancer. Le pool stableswap yETH n'était pas connecté à l'infrastructure principale des coffres-forts V2 et V3 de Yearn, ce qui a permis d'isoler le piratage et ainsi d'empêcher l'exploitation de se propager à ses produits principaux.

L'attaquant blanchit les fonds via un mélangeur

L'attaquant, dans les heures suivant l'exploitation, a commencé à déplacer les actifs volés afin d'obscurcir sa piste. Environ 1 000 ETH, d'une valeur d'environ 3 millions de dollars, ont ensuite été transférés vers le service de mélange de cryptomonnaies Tornado Cash.

Au 1er décembre, environ 6 millions de dollars des fonds volés restaient dans l'adresse du portefeuille de l'attaquant 0xa80d.c822. Les fonds restants étaient principalement constitués de dérivés ETH mis en staking qui n'avaient pas encore été blanchis.

L'équipe Yearn Finance a publié des déclarations claires indiquant que les produits principaux de leurs vaults n'étaient pas vulnérables à l'exploitation. Les vaults V2 et V3 reposent sur un contrat intelligent distinct, avec une base de code différente de celle du pool legacy affecté.

Les utilisateurs qui avaient des fonds dans les vaults Yearn V2 et V3 n'avaient rien à faire. Le protocole a expliqué que l'incident survenu le 30 novembre n'affectait que les déposants du pool stableswap yETH spécifique.

Incidents de sécurité crypto de novembre

Le piratage de Yearn Finance a clôturé un mois difficile pour la sécurité crypto. novembre 2025 a enregistré près de 200 millions de dollars de pertes sur plusieurs plateformes et protocoles à haut profil.

L'incident majeur du mois a été une exploitation de Balancer d'un montant de 134 millions de dollars, causée par une erreur d'arrondi dans la logique des contrats intelligents. L'échange sud-coréen Upbit a subi une compromission de son portefeuille chaud, entraînant des pertes comprises entre 30 millions et 38 millions de dollars.

D'autres incidents de novembre ont inclus une prise de contrôle de contrat intelligent de 3,1 millions de dollars chez GANA Payment et des pertes d'environ 5 millions de dollars chez Hyperliquid dues à la manipulation des prix.