- 11 月 30 日の 900 万ドルの攻撃後、Yearn Finance が資産回収を開始。
- プロトコルはパートナーチームとの連携による回収措置により、239 万ドルを無事に回収しました。
- ハッカーは無限ミントの脆弱性を利用し、レガシーな yETH ステーブルスワッププールを標的にしました。
Yearn Financeは、11月30日にyETH安定swapプールに対する900万ドルの悪用が発生した際に盗まれた資金の回収プロセスを開始しました。
DeFiプロトコルは、影響を受けた預金者に返還される予定の、価値239万ドルの資産のクレイバックに成功したと発表しました。
Cryptopolitanの報道によると、悪用はUTC 21:11に発生し、安定swapコードのカスタムバージョンを対象としました。Yearn Financeは、その主要なV2およびV3のボウルト製品がインシデントの影響を受けておらず、ユーザーにとって安全であることを確認しました。
Yearn Finance、協調的な取り組みで2.39百万ドルを回収
プロトコルは発表しました、PlumeおよびDineroチームとの共同作戦を通じて、価値239万ドルの857.49 pxETHの回収に成功したと。Yearn Financeは、回収プロセスは依然として進行中であり、回収された他の資産は影響を受けた預金者に返還されると述べました。
クレイバック作戦は、初期の悪用から数日後に行われました。SEAL911および監査パートナーのChainSecurityによるウォールルームはアクティブなまま、完全な事後調査が継続中です。セキュリティ対応には、盗まれた資産の動きを追跡し、さらなる損失を防ぐための取り組みが含まれています。
yETHの更新：PlumeおよびDineroチームの支援により、857.49 pxETH（239万ドル）の協調的な回収が行われました。回収活動はアクティブかつ進行中です。正常に回収された資産は、影響を受けた預金者に返還されます。https://t.co/xaClNhd0C0
— yearn (@yearnfi) 12月 1日、2025
$9百万のハッキング被害の内訳
合計で、2つのプールは約900万ドルを失いました。最も大きな影響を受けたのは、影響を受けた安定swapプールで、約800万ドルを失いました。Curveも被害を受け、yETH-WETH Stableswapはさらに90万ドルが空にされました。
攻撃者は、大量のyETHトークンをミントできる脆弱性を利用しました。Yearn Financeの初期分析によると、ハッカーは必要な担保を提供せずに約235兆個のyETHをミントしました。
膨張したトークン残高を使用することで、攻撃者は担保のないyETHを安定swapプールからstETH、rETH、cbETHなどの正当な流動性ステーキング資産や、Curveプールからラップされたイーサリアムとスワップすることができました。
レガシープールの脆弱性が露呈
このコントラクトは、人気のある安定swapコードの一つのカスタムバージョンであり、Yearn Financeの他の製品とは独立していました。プロトコルは、攻撃で侵害されたコードと類似したコードをYearnの他の製品が使用していないと強調しました。
脆弱性は、yETHトークンに関連する古いレガシーコントラクトに関わっていました。これにより、攻撃者は必要な担保 backing なしで新しいトークンをミントでき、実質的に空中からトークンを作成することができました。
Yearn Financeは、初期分析により、このハックが最近のBalancerの悪用と同様の複雑さのレベルにあると placing しました。yETH安定swapプールは主要なYearn V2およびV3ボウルトインフラストラクチャに接続されておらず、これによりハックが隔離され、悪用がコア製品に広がるのを防ぐことができました。
攻撃者はミキサーを通じて資金を洗浄
攻撃者は、悪用から数時間以内に盗まれた資産の移動を開始し、その足跡を隠蔽し始めました。約1,000 ETH（約300万ドル相当）が暗号ミキサーサービスTornado Cashに送金されました。
12月1日現在、約600万ドルの盗まれた資金が攻撃者のウォレットアドレス 0xa80d.c822 に残っていました。残りの資金は主に、まだ洗浄されていないステーキングされたETH派生資産で構成されていました。
Yearn Financeチームは、ボウルトのコア製品が悪用に耐性がないことを示す明確な声明を出しました。V2およびV3ボウルトは別のスマートコントラクトにあり、そのコードベースは影響を受けたレガシープールとは異なります。
Yearn V2およびV3ボウルトに資金を預けていたユーザーは、何も行う必要はありませんでした。プロトコルは、11月30日に発生したインシデントは、特定のyETH安定swapプールの預金者のみに影響を与えたと説明しました。
11月の暗号セキュリティインシデント
Yearn Financeのハックは、暗号通貨セキュリティにとって困難な月を締めくくりました。2025年11月には、複数の著名なプラットフォームおよびプロトコルで合計約2億ドルの損失が発生しました。
今月の最大のインシデントは、スマートコントラクトロジックの丸め誤差によって引き起こされたBalancerの1億3400万ドルの悪用でした。韓国の取引所Upbitはホットウォレットの侵害を受け、3000万ドルから3800万ドルの損失が生じました。
その他の11月のインシデントには、GANA Paymentでの310万ドルのスマートコントラクト乗っ取りと、Hyperliquidでの価格操作による約500万ドルの損失が含まれます。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ヴィグネシュ・カラヌニディ
ヴィグネシュは暗号通貨コンテンツライター、暗号通貨ジャーナリスト、コンテンツ編集者、ソーシャルメディアマネージャーです。Watcher.guru、BeInCrypto、CoinGape、Milkroad、Airdropsなどで6年以上活動してきました。商学修士号を取得し、テクノロジー、ロボティクス、ビジネス、AIニュースのカバー力を磨いてきました。
