Yearn Finance V1のレガシーYearn TUSDボルトがハッキングされる

分散型金融（DeFi）プロトコルYearnのレガシー版が攻撃を受け、非推奨になってから数年が経過した後もネットワーク上に資金を保持していた、設定ミスや変更不可能なスマートコントラクトに関する懸念が再燃しました。

水曜日のX（旧Twitter）投稿で、セキュリティ企業PeckShieldは、YearnFinanceV1のハッキングにより約30万ドルの損失が発生したと報告しました。盗まれた資金は103エーテルに交換され、現在アドレス0x0F21…4066に保管されています。これは同社が共有したEtherscanの画像によるとのことです。

#PeckShieldAlert YearnFinanceV1 @yearnfi が攻撃を受け、合計約30万ドルの損失が発生しました。

攻撃者は盗んだ資金を103 $ETHに交換し、現在以下のアドレスに保管されています：0x0F21…4066。 pic.twitter.com/KeyfTLKRHx

— PeckShieldAlert (@PeckShieldAlert) 12月17日、2025

ハッカーは、TrueUSDに紐づいた古いYearnボルト（「iearn TUSD vault」として知られる）を利用しました。このボルトは新しいバージョンに置き換えられていますが、まだEther上でデプロイされています。設定の欠陥により、攻撃者は複数のトランザクションを通じてシェア価格を操作することができました。

Yearn Financeの設定ミスのあるボルトが価格操作を引き起こす 

匿名の暗号通貨研究者で、中国科学技術大学卒業生のWeilin Liによる分析によると、このボルトは戦略の1つをFulcrum sUSDボルトとして構成し、預けられたsUSD残高のみを使用してシェア価格を計算していました。

これにより、攻撃者が資産を直接ボルトに転送して会計指標を歪める「寄付攻撃」と呼ばれる手法が可能になりました。攻撃者はFulcrum sUSDトークンをYearn TUSDボルトに送金し、ボルトの報告されたシェア価格を人為的に引き上げることができました。

この問題は、すべての基礎資産をsUSDで引き出すリバランス機能によって悪化しました。sUSDはボルトのシェア価格計算に含まれていない資産です。リバランスが開始されると、ボルトのシェア価格は急落し、「価格ショック」を引き起こしました。

PeckShield AlertのEtherscanスナップショットによると、攻撃者はまず事前の担保なしで多額のTUSDとsUSDを借り入れることで、連続したフラッシュローンを実行しました。その後、sUSDを預けてFulcrum sUSDトークンをミントし、TUSDをYearn TUSDボルトに預け入れました。 

その時点で、TUSDボルトのすべての基礎資産はFulcrum sUSDトークンで構成されていました。攻撃者はYearn TUSDボルトから引き出し、リバランス関数を呼び出して、FulcrumにすべてをsUSDで償還させました。sUSDはシェア価格計算から除外されていたため、ボルトの会計は崩壊し、結果としてシェア価格はゼロに近づきました。

攻撃者はその後、少量のTUSDをボルトに転送してシェア価格を極端に低い水準に押し下げ、最小限のコストで多量のYearn TUSDトークンをミントしました。最終的に、彼はCurveプールで安価に取得したYearn TUSDトークンを売却して利益を計上し、流動性プロバイダーから価値を抽出してからフラッシュローンを返済しました。

Yearn Financeは2023の脆弱性を振り返り、研究者が攻撃の詳細を語る

研究者Li氏は、今回の攻撃が2023年に実施され、1,000万ドル以上の損失をもたらした攻撃と類似していると発見しました。その際の標的となった変更不可能なyUSDTコントラクトは、3年以上前に、亡きAndre Cronje氏がプロトコルを率いていたiearnの初期時代にデプロイされました。

補足ですが、これは前回と同じ攻撃ベクトルです： https://t.co/MKfn7kikJ7

cc @yearnfi @RektHQ

— Weilin (William) Li (@hklst4r) 月16日、2025

悲観的なセキュリティアナリストは、攻撃前にソーシャルメディアでこの脆弱性について警告を発していましたが、一度デプロイされた変更不可能なスマートコントラクトはパッチ適用や一時停止ができないため、攻撃は避けられないものでした。

 「iearn finance、Smoothswap、注意してください。このアドレス0x5bac20…ed8e9cdfe0はTornadoから10 ETHを受け取り、あなたのアドレスを使用してフラッシュローンでコントラクトをデプロイしています」と、PSのNikiti Kirillov氏は書き込みました。

補完的な提出 Yearn 「storming0x」として知られるチームメンバーは、攻撃が発生したことを認め、現在のコントラクトは安全であるとユーザーを安心させました。しかし、Rekt Newsの観察者たちは 明らかにした このDeFiプロトコルが数百万ドルの脆弱性を発見するまでに1,156日かかったことを指摘しました。

Yearn yUSDTトークンコントラクトは、Aave、Compound、dYdX、BzXのFulcrum上のUSDT預け入れなど、利子付きポジションのバスケットから収益を生成していました。しかし、ローンチ以来、yUSDTにはFulcrum USDTコントラクトではなくFulcrum USDCアドレスを参照するコピー＆ペーストのエラーが含まれていました。 

ハッカーはわずか10,000 USDTを使用するだけで、約1.2京個のyUSDTをミントし、システムから価値を枯渇させてから現金化しました。

Yearnの事件は、Cryptopolitanの featured Ribbon Finance（Aevoの再ブランド版）の古い契約からの270万ドルの流出を報告した。その攻撃では、アドレス0x9D7b…8ae6B76のプロキシ管理契約との繰り返し相互作用が含まれた。攻撃者はtransferOwnershipやsetImplementationなどの関数を呼び出し、デリゲートコールを通じて価格フィードプロキシを操作した。