- YearnFinanceV1은 공격자가 잘못된 구성된 레거시 TUSD 보루를 플래시 로인과 가격 왜곡을 이용해 조작한 후 30만 달러 규모의 악용을 당했습니다.
- 조사관들은 이번 공격이 이전 Yearn 취약점과 연결되었으며, 자금이 패치되거나 복구할 수 없는 불변 계약에 묶여 있다고 밝혔습니다.
- 이번 사건은 최근 Aevo의 오래된 Ribbon Finance 배포체에 대한 270만 달러 규모의 공격을 포함해 구식 계약을 겨냥한 DeFi 악용 사례가 늘어나고 있음을 보여줍니다.
탈중앙화 금융(DeFi) 프로토콜인 Yearn의 레거시 버전이 해킹을 당해, 비활성화된 지 수년 후에도 네트워크에 자금을 보유하고 있는 잘못된 구성 및 수정 불가능한 스마트 계약에 대한 우려가 다시 제기되었습니다.
수요일 X(구 트위터) 게시에서 보안 회사 PeckShield는 YearnFinanceV1 해킹으로 약 $300,000의 손실이 발생했다고 보고했습니다. 훔친 자금은 103 Ether로 스왑되었으며, 현재 주소 0x0F21…4066에 보관 중입니다(Etherscan 이미지 참조).
#PeckShieldAlert YearnFinanceV1 @yearnfi이 해킹을 당해 총 ~$300K의 손실이 발생했습니다.
해커는 훔친 자금을 103 $ETH로 스왑했으며, 현재 이 주소에 보관 중입니다: 0x0F21…4066. pic.twitter.com/KeyfTLKRHx
— PeckShieldAlert (@PeckShieldAlert) 12월 17일, 2025
해커들은 TrueUSD에 연결된 구형 Yearn 볼트인 'iearn TUSD 볼트'를 이용했습니다. 이 볼트는 새 버전으로 대체되었음에도 불구하고 이더리움에 여전히 배포되어 있습니다. 구성 결함이 공격자로 하여금 여러 거래를 통해 주가 조작을 가능하게 했습니다.
Yearn Finance의 잘못된 구성된 볼트가 가격 조작을 유발
가명 암호화폐 연구자이자 중국 과학기술대학 동문인 Weilin Li의 분석에 따르면, 볼트는 전략 중 하나를 Fulcrum sUSD 볼트로 구성하고 sUSD 잔고만 사용하여 주가를 계산했습니다.
이로 인해 공격자가 자산을 볼트에 직접 이체하여 회계 지표를 왜곡하는 이른바 '기부 공격'이 가능해졌습니다. 공격자들은 Fulcrum sUSD 토큰을 Yearn TUSD 볼트에 이체하여 볼트의 보고된 주가를 인위적으로 부풀렸습니다.
이 문제는 sUSD를 포함한 모든 기초 자산을 인출하는 재균형 함수로 인해 악화되었습니다. sUSD는 볼트의 주가 계산에 포함되지 않은 자산입니다. 재균형이 시작되자 볼트의 주가가 급락하여 '가격 쇼크'를 일으켰습니다.
PeckShield Alert의 Etherscan 스냅샷에 따르면, 공격자는 먼저 담보 없이 대량의 TUSD와 sUSD를 차용한 후 시퀀셜 플래시 로인을 실행했습니다. 그런 다음 sUSD를 예치하여 Fulcrum sUSD 토큰을 미ント한 후 TUSD를 Yearn TUSD 볼트에 예치했습니다.
이 단계에서 TUSD 볼트의 모든 기초 자산은 Fulcrum sUSD 토큰으로 구성되었습니다. 공격자는 Yearn TUSD 볼트에서 인출하고 재균형 함수를 호출하여 Fulcrum이 모든 것을 sUSD로 상환하도록 강요했습니다. sUSD는 주가 계산에서 제외되었으므로 볼트의 회계가 붕괴되어 주가가 0에 가까워졌습니다.
공격자는 소량의 TUSD를 다시 볼트에 이체하여 주가를 극도로 낮은 수준으로 밀어붙이고, 최소 비용으로 대량의 Yearn TUSD 토큰을 미ント했습니다. 그는 최종적으로 Curve 풀에서 저렴하게 acquired한 Yearn TUSD 토큰을 매도하여 수익을 실현하고, 유동성 제공자로부터 가치를 추출한 후 플래시 로인을 상환했습니다.
Yearn Finance 2023 취약점 재조명, 연구자 설명
연구자 Li는 이 해킹이 2023년에 발생하여 1,000만 달러 이상의 손실을 초래한 공격과 유사하다고 밝혔습니다. 당시 표적이 된 수정 불가능한 yUSDT 계약은 iearn 초기 시절 Andre Cronje가 프로토콜을 이끌던 때인 3년 이상 전에 배포되었습니다.
참고로, 이는 지난번과 정확히 동일한 공격 벡터입니다: https://t.co/MKfn7kikJ7
— Weilin (William) Li (@hklst4r) 12월 16일, 2025
비관적인 보안 분석가들은 해킹 발생 전에 소셜 미디어에서 이 취약점에 대한 경고를Issued했지만, 배포된 후 수정 불가능한 스마트 계약은 패치하거나 일시 중지할 수 없었기 때문에 불가피한 일이었습니다.
“iearn finance, Smoothswap, 조심하세요. 이 주소 0x5bac20…ed8e9cdfe0은 Tornado에서 10 ETH를 받아 귀하의 주소를 사용하여 플래시 로인으로 계약을 배포했습니다,”라고 PS의 Nikiti Kirillov이 썼습니다.
A Yearn storming0x라는 이름의 팀 구성원은 공격이 발생했음을 인정하며 현재 계약이 안전하다고 사용자를 안심시켰습니다. 그러나 Rekt News 관찰자들은 공개했다 DeFi 프로토콜이 수백만 달러 규모의 취약점을 발견하는 데 1,156일이 걸렸다고 지적합니다.
Yearn yUSDT 토큰 계약은 Aave, Compound, dYdX 및 BzX의 Fulcrum에 대한 USDT 예치를 포함한 수익 창출 포지션의 바스켓에서 수익을 생성했습니다. 그러나 출시 이후 yUSDT에는 Fulcrum USDT 계약 대신 Fulcrum USDC 주소를 참조하는 복사-붙여넣기 오류가 있었습니다.
해커들은 단 10,000 USDT만 사용하여 약 1.2 quadrillion yUSDT를 미ント하여 시스템에서 가치를 빼앗은 후 현금화했습니다.
Yearn 사건은 Cryptopolitan이 소개했다 Aevo의 리브랜딩 버전인 Ribbon Finance의 오래된 계약에서 270만 달러의 유출을 다뤘다. 그 공격은 주소 0x9D7b…8ae6B76의 프록시 관리자 계약과의 반복적인 상호작용을 포함했다. 공격자는 transferOwnership 및 setImplementation과 같은 함수를 호출하여 위임 호출을 통해 가격 피드 프록시를 조작했다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
