Пул yETH Yearn Finance опустошен в результате эксплуатации токенов ликвидного стейкинга на $3 млн

Популярный протокол DeFi Yearn Finance стал последней жертвой атаки, в ходе которой злоумышленник вывел около 3 млн долларов в эквиваленте ETH из своего хранилища yETH. 

Корпоративные эксплойт атака была направлена на индексный токен ликвидного стейкинга протокола yETH, что позволило хакеру отчеканить почти бесконечное количество токенов и опустошить пул за одну транзакцию. Согласно блокчейн-анализу, злоумышленник использовал уязвимость в смарт-контракте yETH, который объединяет эти токены ликвидного стейкинга в торгуемый индексный токен.

В посте в X Yearn подтвердил, что эксплуатация была изолирована только для пула yETH, а его другие хранилища (V2 и V3) остались unaffected. Блокчейн-аналитики внимательно следят за сетью, чтобы определить, есть ли дальнейшая подозрительная активность. Это один из способов, при котором одна ошибка в сложном продукте DeFi может привести к значительным потерям.

На данном этапе полная величина потерь все еще оценивается. Хотя видимый отток составляет примерно 3 млн долларов, пулы ликвидности, обеспечивающие стейкинг многих пользователей, также могли быть затронуты.

Yearn действует после взлома yETH, обеспечивая безопасность хранилищ

Yearn Finance подтвердил, что его хранилище yETH было взломано, хотя пострадал только пул стабильного свопа LST, и ни одна другая часть кода не была скомпрометирована. Компания спешит заверить своих клиентов, что ее основные продукты хранилищ (V2 и V3) по-прежнему на 100% безопасны и что атака не скомпрометировала их.

Команда Yearn заявляет, что проводит тщательное внутреннее расследование, чтобы точно определить, как была выполнена эксплуатация, и были ли затронуты какие-либо другие активы. Это включает аудит фрагментов кода, мониторинг ончейн-транзакций и сотрудничество с профессионалами по безопасности, чтобы убедиться, что другие ошибки не остались незамеченными.

Взлом был впервые отмечен пользователем X Togbe, который сообщил о замеченной атаке во время мониторинга крупных переводов. "Чистые переводы предполагают, что супер-чеканка yETH позволила злоумышленнику опустошить пул для получения прибыли в 1 тыс. ETH", — сказал Togbe в сообщении. "Кто-то пожертвовал другим eth, но они все равно получили прибыль."

Нарушение безопасности служит важным напоминанием о рисках, которые могут присутствовать в DeFi, включая те, что касаются протоколов с хорошей репутацией и историей аудита. Ответ Yearn, характеризующийся открытостью для общественности, активным мониторингом развития событий и приверженностью аудиту, соответствует протоколу, который ставит безопасность пользователей на первое место в принятии решений, продолжая исследовать все аспекты, связанные с DeFi.

Протоколы DeFi сталкиваются с растущими угрозами со стороны хакеров

Атака на пул yETH Yearn Finance не является изолированным случаем; это симптом более крупной, экспоненциально растущей тенденции, которая представляет экзистенциальные угрозы для экосистемы децентрализованных финансов (DeFi).

Как недавно сообщалось в Cryptopolitan, в ноябре 2025 года пространство потеряло примерно 127 млн долларов в результате взломов, мошенничества и эксплуатации. По словам экспертов, технологические риски, а не фишинг или взломанные кошельки, были самой большой угрозой для проектов DeFi на сегодняшний день — похоже, что большинство проблем с флеш-кредитами (и другими) были вызваны недостатками в коде смарт-контрактов.

Атака на yETH является примером того, что даже высоко используемые и проверенные платформы не неуязвимы. Протоколы, включающие протоколы с богатым набором функций, таких как Ликвидный Стейкинг, Автоматическая Индексация Токенов и Агрегированные Котировки, потенциально могут расширить поверхность атаки, позволяя атакам на протоколы быть скомпрометированными более сложной атакой с течением времени.

И спроектированные быть максимально эффективными и скользкими для своих целевых клиентов, такие системы также могут непреднамеренно создавать лазейки, которые даже плохие парни уже заметили.

Последние атаки были похожи, согласно экспертам по безопасности. Хакеры теперь используют все более сложные и многоэтапные стратегии, используя невероятно подвижные, заранее спланированные движения через самоуничтожающиеся смарт-контракты. Эти самоуничтожающиеся смарт-контракты используются для перевода украденных средств через миксеры, ориентированные на конфиденциальность, такие как Tornado Cash.