- Yearn Finance, 11 월 30 일 $9 백만 규모의 익스플로잇 발생 후 자산 회수에 착수.
- 프로토콜은 파트너 팀과의 협력적인 클로백 노력을 통해 성공적으로 $2.39 백만을 회수했습니다.
- 해커는 무제한 미트 취약점을 악용하여 레거시 yETH 스테이블스왑 풀을 공격했습니다.
Yearn Finance는 11월 30일 yETH 안정적 스왑 풀을 타격한 900만 달러 악의적 공격으로 도난당한 자금에 대한 회수 절차를 시작했습니다.
이 DeFi 프로토콜은 영향을 받은 예금자에게 반환될 239만 달러 상당의 자산을 성공적으로 회수했다고 발표했습니다.
Cryptopolitan의 보도에 따르면, 악의적 공격은 UTC 21:11에 발생했으며 안정적 스왑 코드의 커스텀 버전을 표적으로 삼았습니다. Yearn Finance는 주요 V2 및 V3 뱅크 제품이 사고의 영향을 받지 않았으며 사용자에게 여전히 안전하다고 확인했습니다.
Yearn Finance, 조정된 노력으로 2.39백만 달러 회수
프로토콜은 Plume 및 Dinero 팀과의 협력 작업을 통해 239만 달러 가치의 857.49 pxETH를 회수했다고 발표했습니다. Yearn Finance는 회수 과정이 여전히 진행 중이며, 회수된 기타 자산은 영향을 받은 예금자에게 반환될 것이라고 밝혔습니다.
회수 작업은 초기 악의적 공격 발생 며칠 만에 이루어졌습니다. SEAL911 및 감사 파트너 ChainSecurity로 구성된 워룸은 전체 사후 조사 진행 중에도 활동 중이며, 보안 대응에는 도난 자산의 이동을 추적하고 추가 손실을 방지하기 위한 노력이 포함됩니다.
yETH 업데이트: Plume 및 Dinero 팀의 도움으로 857.49 pxETH(239만 달러)에 대한 조정된 회수가 수행되었습니다. 회수 노력은 계속 진행 중이며, 성공적으로 회수된 자산은 영향을 받은 예금자에게 반환됩니다.https://t.co/xaClNhd0C0
— yearn (@yearnfi) 12월 1일, 2025
$9백만 규모의 해킹 사건 분석
두 풀은 합쳐서 약 900만 달러를 손실했습니다. 가장 큰 타격은 영향을 받은 안정적 스왑 풀로, 약 800만 달러를 손실했습니다. Curve도 영향을 받아 yETH-WETH 안정적 스왑 풀에서 추가로 90만 달러가 유출되었습니다.
공격자는 다수의 yETH 토큰을 발행할 수 있는 취약점을 사용했습니다. Yearn Finance의 초기 분석에 따르면, 해커는 필요한 담보 없이 약 235조 개의 yETH를 발행했습니다.
공격자는 부풀려진 토큰 잔액을 사용하여 안정적 스왑 풀에서 stETH, rETH, cbETH와 같은 정당한 리퀴드 스테이킹 자산과 Curve 풀에서 래핑된 이더리움으로 담보 없는 yETH를 스왑할 수 있었습니다.
레거시 풀 취약점 노출
이 계약은 인기 있는 안정적 스왑 코드 중 하나의 커스텀 버전이었으며, Yearn Finance의 나머지 제품과 독립적이었습니다. 프로토콜은 공격으로 침해된 코드와 유사한 코드를 사용하는 다른 Yearn 제품이 없다고 강조했습니다.
이 취약점은 yETH 토큰과 관련된 구형 레거시 계약에 있었습니다. 이를 통해 공격자는 필요한 담보 지원 없이 새 토큰을 발행할 수 있었고, 이는 사실상 공중에서 토큰을 생성하는 것이었습니다.
Yearn Finance는 초기 분석을 통해 이번 해킹이 최근 Balancer 악의적 공격과 유사한 수준의 복잡성을 가진 것으로 보고했습니다. yETH 안정적 스왑 풀은 주요 Yearn V2 및 V3 뱅크 인프라와 연결되어 있지 않았으며, 이는 해킹을 격리하여 악의적 공격이 핵심 제품에 확산되는 것을 방지하는 데 도움이 되었습니다.
공격자, 믹서를 통해 자금 세탁
공격자는 악의적 공격 발생 몇 시간 내에 도난 자산을 이동하여 흔적을 숨기기 시작했습니다. 약 1,000 ETH(약 300만 달러 상당)가 암호화폐 믹서 서비스인 Tornado Cash로 이체되었습니다.
12월 1일 기준, 약 600만 달러의 도난 자금이 공격자의 지갑 주소 0xa80d.c822에 남아 있었습니다. 남은 자금은 주로 아직 세탁되지 않은 스테이킹된 이더리움 파생상품으로 구성되었습니다.
Yearn Finance 팀은 핵심 뱅크 제품이 악의적 공격에 취약하지 않음을 나타내는 명확한 성명을 발표했습니다. V2 및 V3 뱅크는 별도의 스마트 계약에 위치하며, 그 코드베이스는 영향을 받은 레거시 풀과 다릅니다.
Yearn V2 및 V3 뱅크에 자금을 둔 사용자는 아무것도 할 필요가 없었습니다. 프로토콜은 11월 30일에 발생한 사건이 특정 yETH 안정적 스왑 풀의 예금자에만 영향을 미쳤다고 설명했습니다.
11월 암호화폐 보안 사건
Yearn Finance 해킹은 암호화폐 보안에 있어 어려운 달을 마감했습니다. 2025년 11월은 여러 주요 플랫폼과 프로토콜에서 거의 2억 달러의 손실을 보았습니다.
이번 달의 최대 사건은 스마트 계약 로직의 반올림 오류로 인한 Balancer의 1억 3,400만 달러 악의적 공격이었습니다. 한국 거래소 업비트는 핫 월렛 침해로 인해 3,000만 달러에서 3,800만 달러 사이의 손실을 입었습니다.
다른 11월 사건에는 GANA Payment에서의 310만 달러 스마트 계약 장악과 가격 조작으로 인한 Hyperliquid의 약 500만 달러 손실이 포함되었습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
비그네시 카루나니디
비네시는 암호화폐 콘텐츠 작가, 암호화폐 저널리스트, 콘텐츠 편집자 및 소셜 미디어 매니저입니다. 그는 6 년 이상 Watcher.guru, BeInCrypto, CoinGape, Milkroad, Airdrops 에서 활동해 왔으며, 상경학 석사 학위를 통해 기술, 로봇공학, 비즈니스 및 AI 뉴스 보도 역량을 갈고닦았습니다.
