Yearn Finance inicia recuperação de valores após ataque hacker de US$ 9 milhões, devolvendo US$ 2,39 milhões aos depositantes.

A Yearn Finance iniciou o processo de recuperação dos fundos roubados após uma vulnerabilidade de US$ 9 milhões ter atingido seu pool de stablecoins yETH em 30 de novembro.

O protocolo DeFi anunciou que recuperou com sucesso US$ 2,39 milhões em ativos, que serão devolvidos aos depositantes afetados.

Conforme relatado pela Cryptopolitan, a exploração ocorreu às 21h11 UTC e teve como alvo uma versão personalizada do código do Stableswap. A Yearn Finance confirmou que seus principais produtos V2 e V3 não foram afetados pelo incidentedent permanecem seguros para os usuários.

Yearn Finance recupera US$ 2,39 milhões em ação coordenada

O protocolo anunciou a recuperação de 857,49 pxETH, avaliados em US$ 2,39 milhões, por meio de uma operação conjunta com as equipes da Plume e da Dinero. A Yearn Finance afirmou que o processo de recuperação ainda está em andamento e que quaisquer outros ativos recuperados serão devolvidos aos depositantes afetados.

A operação de recuperação ocorre poucos dias após o ataque inicial. Uma sala de guerra com a SEAL911 e a parceira de auditoria ChainSecurity permanece ativa enquanto a investigação completa continua. A resposta de segurança envolve tracda movimentação dos ativos roubados e o trabalho para evitar novas perdas.

Atualização sobre o yETH: Com a assistência das equipes da Plume e da Dinero, foi realizada uma recuperação coordenada de 857,49 pxETH (US$ 2,39 milhões). Os esforços de recuperação continuam ativos e em andamento. Quaisquer ativos recuperados com sucesso serão devolvidos aos depositantes afetados.https://t.co/xaClNhd0C0

— yearn (@yearnfi) 1 de dezembro de 2025

Análise detalhada da exploração de US$ 9 milhões

No total, as duas pools perderam cerca de US$ 9 milhões. O impacto mais forte foi sentido pela pool de stableswap afetada, que perdeu cerca de US$ 8 milhões. A Curve também sofreu, já que a stableswap yETH-WETH teve uma perda adicional de US$ 900.000.

O atacante explorou uma vulnerabilidade que permitiu a emissão de uma grande quantidade de tokens yETH. De acordo com uma análise preliminar da Yearn Finance, o hacker emitiu cerca de 235 trilhões de yETH sem fornecer as garantias necessárias.

Ao utilizar o saldo inflado de tokens, o atacante conseguiu trocar o yETH sem lastro por ativos de staking líquidos legítimos, como stETH, rETH e cbETH do pool Stableswap, e por Ethereum encapsulado do pool Curve.

Vulnerabilidade de pool legado exposta

Estetracera uma versão personalizada de um dos códigos populares do stableswap e eradent dos demais produtos da Yearn Finance. O protocolo enfatizou que nenhum outro produto da Yearn utiliza código semelhante ao que foi comprometido no ataque.

A vulnerabilidade envolvia umtracantigo e legado relacionado ao token yETH. Isso permitia que o atacante criasse novos tokens sem a garantia necessária, essencialmente criando tokens do nada.

A Yearn Finance explicou que a análise inicial coloca esse ataque em um nível de complexidade semelhante ao recente exploit da Balancer. O pool stableswap yETH não estava conectado à infraestrutura principal do cofre Yearn V2 e V3, o que ajudou a isolar o ataque e, assim, impedir que o exploit se propagasse para seus produtos principais.

O atacante lava dinheiro através de uma empresa de lavagem de dinheiro.

Poucas horas após a exploração da vulnerabilidade, o atacante começou a movimentar os ativos roubados para ocultar seus rastros. Cerca de 1.000 ETH, equivalentes a aproximadamente US$ 3 milhões, foram posteriormente transferidos para o serviço de mistura de criptomoedas Tornado Cash.

Em 1º de dezembro, aproximadamente US$ 6 milhões dos fundos roubados permaneciam na carteira do atacante, no endereço 0xa80d.c822. Os fundos restantes eram compostos principalmente por derivativos de ETH em staking que ainda não haviam sido lavados.

A equipe da Yearn Finance divulgou declarações claras indicando que os produtos principais de seus cofres não eram suscetíveis à exploração. Os cofres V2 e V3 estão em umtracinteligente separado, com seu código-fonte diferente do do pool legado afetado.

Os usuários que possuíam fundos nos cofres Yearn V2 e V3 não precisaram fazer nada. O protocolo explicou que odent ocorrido em 30 de novembro afetou apenas os depositantes no pool stableswap yETH específico.

dentde segurança de criptomoedas em novembro

O ataque hacker à Yearn Finance encerrou um mês difícil para a segurança das criptomoedas. Em novembro de 2025, foram registrados prejuízos de quase US$ 200 milhões em diversas plataformas e protocolos de grande visibilidade.

do mêsdent foi um ataque de US$ 134 milhões à Balancer, causado por um erro de arredondamento na lógica de um contrato inteligentetracA exchange sul-coreana Upbit sofreu uma invasão em sua carteira online, resultando em perdas entre US$ 30 milhões e US$ 38 milhões.

Outrosdentde novembro incluíram uma aquisição detracinteligente de US$ 3,1 milhões na GANA Payment e perdas de aproximadamente US$ 5 milhões na Hyperliquid devido à manipulação de preços.