- La società di sicurezza blockchain Blockaid ha rilevato un attacco front-end al sottodominio di voto di Yield Yak, in cui gli aggressori hanno iniettato lo script Eleven drainer per il furto di portafogli.
- L'attacco riproduce una recente violazione subita da Gitcoin, suggerendo una tendenza crescente degli hacker a colpire i sottodomini delle piattaforme crypto invece dei contratti intelligenti principali.
- Non sono stati ancora pubblicati dati confermati sulle perdite, ma gli utenti che hanno connesso i propri portafogli al sito compromesso potrebbero essere stati esposti a transazioni non autorizzate.
L'azienda di cybersecurity blockchain Blockaid ha rilevato un hack front-end sul sito web della piattaforma di aggregazione di rendimento decentralizzata (DeFi), Yield Yak, il 24 giugno 2026. Secondo Blockaid, il front-end del sito di Yield Yak era stato compromesso da script malevoli di svuotamento dei portafogli. Segna la seconda volta in pochi giorni che un attacco di questa natura ha colpito una piattaforma di scambio crypto importante ed è l'ultimo aggiunta alla recente tendenza di hack front-end che prendono di mira le principali piattaforme crypto.
Secondo il processo di rilevamento di Blockaid, il sotto-dominio vote.yieldyak.com era stato compromesso con codice da un software chiamato
L'attaccante utilizza un copione classico
L'hack a Yield Yak assomiglia alla vulnerabilità individuata su Gitcoin, una piattaforma di finanziamento open-source, solo pochi giorni fa. Secondo Blockaid il 21 giugno, files.gitcoin.co, un sotto-dominio di Gitcoin, aveva lo stesso codice drainer Eleven e ha avvisato le persone di stare lontane dalla piattaforma poiché era in fase di verifica. Blockaid ha associato direttamente i due hack, notando che l'attacco a Yield Yak
🚨Il sistema di Blockaid ha identificato un attacco front-end su yieldyak[.]com da @yieldyak_. Il sotto-dominio del sito – vote[.]yieldyak[.]com ora contiene il codice di eleven drainer.
— Blockaid (@blockaid_) Giugno 24, 2026
Questo segue l'incidente di ieri su @gitcoin che ha operato in modo simile pic.twitter.com/YFmWEYfa7D
In entrambi i casi, i sotto-domini sono stati compromessi invece delle interfacce dell'applicazione principale. Il prodotto principale di Yield Yak, un protocollo di yield farming auto-composto su Avalanche, funziona sul dominio principale. Il sotto-dominio di voto compromesso sembra essere un punto di ingresso secondario, ma chiunque vi accedesse avrebbe corso il rischio di avere il proprio portafoglio svuotato.
La mancanza di figure di perdita definitive non significa sempre conseguenze minime. Le vulnerabilità front-end di solito passano attraverso un processo di indagine per ore o persino giorni quando i team di sicurezza identificano le interazioni tra i portafogli e verificano se gli utenti hanno eseguito transazioni malevole. In altri casi di drainer quest'anno, le perdite sono variate da diverse migliaia di dollari a milioni di dollari in base al numero di persone che hanno connesso i portafogli fino alla cancellazione del codice malevolo. Ad esempio, in uno degli incidenti monitorati da Blockaid, gli hacker hanno preso circa $3,2 milioni da 86 portafogli Safe utilizzando una vulnerabilità di un modulo di terze parti a maggio. Il secondo esempio è lo sfruttamento di TrustedVolumes per i fornitori di liquidità che ha portato a perdite per $5,9 milioni.
Aumento degli attacchi front-end
Gli hack menzionati a Yield Yak e Gitcoin fanno parte di una tendenza più ampia che ha scosso la comunità delle criptovalute quest'anno. L'attacco front-end, quando un attaccante sfrutta il sito web di un progetto senza influenzare i contratti intelligenti, è aumentato in frequenza sulle principali piattaforme DeFi.
All'inizio dell'anno, OpenEden, Curvance e Maple Finance hanno subito tutti attacchi front-end in una singola settimana a febbraio. Quegli attacchi hanno utilizzato un diverso toolkit drainer chiamato AngelFerno ma hanno seguito lo stesso metodo: ottenere l'accesso all'infrastruttura web di un progetto, inserire codice che dirotta le connessioni dei portafogli e attendere che gli utenti interagiscano.
Blockaid ha documentato un modello ancora più aggressivo ad aprile 2026. Dopo gli exploit di alto profilo su Drift Protocol, KelpDAO e altre piattaforme, gli operatori di drainer hanno creato domini simili a quelli originali entro poche ore per intercettare gli utenti in panico che cercavano modi per revocare le approvazioni dei token. L'azienda ha definito aprile 2026 come
Cosa devono sapere gli utenti di Yield Yak
Yield Yak è un protocollo DeFi su Avalanche che compounding automaticamente le ricompense di yield farming e opera un aggregatore di exchange decentralizzato, secondo la sua quotazione su Alchemy. Gli utenti che hanno depositato asset attraverso i contratti intelligenti della piattaforma principale non sono direttamente interessati da una compromissione front-end, poiché i contratti sottostanti rimangono invariati. Il rischio si applica a chiunque abbia visitato il sotto-dominio compromesso e abbia connesso un portafoglio o firmato una transazione.
Alla data di pubblicazione, né Yield Yak né Gitcoin avevano rilasciato dichiarazioni pubbliche sullo stato della remediation per i rispettivi incidenti. Nessuna società di sicurezza o investigatore blockchain ha riportato pubblicamente perdite confermate legate alla compromissione di Yield Yak, e al momento non ci sono prove on-chain che indicano la scala di qualsiasi potenziale furto. Blockaid ha consigliato agli utenti di non interagire con i siti web interessati mentre il problema è in fase di indagine e remediation.
Gli utenti che sospettano di aver interagito con vote.yieldyak.com dovrebbero revocare qualsiasi approvazione di token concessa durante la sessione utilizzando uno strumento fidato e monitorare i loro portafogli per trasferimenti non autorizzati.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Cosa è successo al sito web di Yield Yak?
Secondo l'avviso pubblicato da Blockaid su X il 24 giugno 2026, la società di sicurezza ha rilevato che il sottodominio vote.yieldyak.com di Yield Yak è stato iniettato con codice malevolo "Eleven drainer" progettato per rubare asset crittografici quando gli utenti connettono i loro portafogli.
Eleven Drainer è lo stesso malware che ha colpito Gitcoin?
Sì. Blockaid ha confermato che l'attacco a Yield Yak ha utilizzato lo stesso codice Eleven drainer trovato sul sottodominio files.gitcoin.co di Gitcoin tre giorni prima, precisando che i due incidenti si sono svolti in modo simile.
I contratti intelligenti di Yield Yak e i fondi depositati sono stati compromessi?
Gli attacchi front-end prendono di mira il sito web del progetto, non i suoi smart contract. Gli utenti che non hanno visitato o interagito con il sottodominio compromesso non sono direttamente a rischio, ma chiunque abbia connesso un portafoglio a vote.yieldyak.com per votare dovrebbe revocare le approvazioni dei token e verificare transazioni non autorizzate.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Ashish Kumar
Ashish Kumar è un giornalista specializzato in criptovalute e finanza con otto anni di esperienza nei redazioni. Si occupa di ciò che accade nei mercati crypto, nella regolamentazione, nel DeFi e negli ecosistemi degli exchange. Ha lavorato con Coingape, Todayq e Newsroompost. Ashish possiede un PGDP in Giornalismo Inglese dall'IIMC. Ha inoltre intervistato figure del settore tra cui Arthur Hayes, Yat Siu, Austin Federa e altri.
