Yield Yak следует за Gitcoin в последней атаке с использованием дрэйнера кошельков
- Компания по безопасности блокчейна Blockaid обнаружила фронтенд-взлом на субдомене голосования Yield Yak, где злоумышленники внедрили скрипт кражи кошельков Eleven drainer.
- Эта атака напоминает недавнее нарушение безопасности в Gitcoin, что указывает на растущую тенденцию хакеров атаковать субдомены криптоплатформ, а не основные смарт-контракты.
- Подтвержденных данных о финансовых потерях пока нет, однако пользователи, подключившие свои кошельки к скомпрометированному сайту, могли подвергнуться риску несанкционированных транзакций.
Компания по кибербезопасности блокчейна Blockaid обнаружила взлом фронтенда на сайте платформы агрегации доходности децентрализованных финансов (DeFi) Yield Yak 24 июня 2026 года. По данным Blockaid, фронтенд сайта Yield Yak был скомпрометирован вредоносными скриптами для опустошения кошельков. Это уже второй случай за несколько дней, когда атака такого рода произошла против крупной криптобиржи, и это последнее дополнение к недавней тенденции взломов фронтенда, нацеленных на крупные криптоплатформы.
Согласно процессу обнаружения Blockaid, поддомен vote.yieldyak.com был скомпрометирован кодом из программного обеспечения под названием «Eleven drainer». Дрэйнер кошельков — это тип вредоносного скрипта, который обманом заставляет пользователей отправлять свои цифровые активы злоумышленнику через транзакции, одобренные самими пользователями. Вредоносный код принудительно одобряет действия или отправляет активы злоумышленнику в тот самый момент, когда пользователи подключают свои кошельки, и часто еще до того, как они понимают, что происходит. Ни Blockaid, ни Yield Yak не предоставили информацию о количестве потерь, понесенных из-за взлома Yield Yak, на момент публикации.
Злоумышленник использует классическую схему
Взлом Yield Yak напоминает уязвимость, обнаруженную на Gitcoin, платформе финансирования с открытым исходным кодом, всего несколько дней назад. Согласно данным Blockaid от 21 июня, поддомен files.gitcoin.co содержал тот же код дрэйнера «Eleven» и предупреждал пользователей держаться подальше от платформы, так как она проверялась. Blockaid напрямую связал эти два взлома, отметив, что атака на Yield Yak «следует за вчерашним инцидентом на Gitcoin, который произошел аналогичным образом».
🚨Система Blockaid выявила атаку на фронтенд yieldyak[.]com со стороны @yieldyak_. Поддомен сайта – vote[.]yieldyak[.]com теперь содержит код eleven drainer.
— Blockaid (@blockaid_) Июнь 24, 2026
Это следует за вчерашним инцидентом на @gitcoin который произошел аналогичным образом pic.twitter.com/YFmWEYfa7D
В обоих случаях были скомпрометированы поддомены, а не основные интерфейсы приложений. Основной продукт Yield Yak, протокол автоматического сложного фарминга доходности на Avalanche, работает на основном домене. Скомпрометированный поддомен для голосования, похоже, является вторичной точкой входа, но любой, кто получил к нему доступ, рисковал тем, что его кошелек будет опустошен.
Отсутствие точных данных о потерях не всегда означает минимальные последствия. Уязвимости фронтенда обычно проходят процесс расследования в течение часов или даже дней, когда команды безопасности выявляют взаимодействия между кошельками и проверяют, выполнили ли пользователи вредоносные транзакции. В других случаях использования дрэйнеров в этом году потери варьировались от нескольких тысяч до миллионов долларов в зависимости от количества людей, подключавших кошельки, пока вредоносный код не был удален. Например, в одном из инцидентов, отслеживаемых Blockaid, хакеры вывели около $3,2 млн из 86 кошельков Safe в мае, используя уязвимость стороннего модуля. Второй пример — эксплуатация поставщиков ликвидности TrustedVolumes, приведшая к потерям в размере $5,9 млн.
Рост атак на фронтенд
Упомянутые взломы Yield Yak и Gitcoin являются частью более широкой тенденции, потрясшей криптовалютное сообщество в этом году. Атака на фронтенд, при которой злоумышленник эксплуатирует сайт проекта, не затрагивая смарт-контракты, участилась на крупных платформах DeFi.
Ранее в этом году OpenEden, Curvance и Maple Finance все подверглись атакам на фронтенд в течение одной недели в феврале. Эти атаки использовали другой набор инструментов дрэйнера под названием AngelFerno, но следовали тому же методу: получить доступ к веб-инфраструктуре проекта, вставить код, перехватывающий подключения кошельков, и ждать взаимодействия пользователей.
Blockaid задокументировал еще более агрессивный паттерн в апреле 2026 года. После высокопрофильных эксплойтов в Drift Protocol, KelpDAO и других платформах, операторы дрэйнеров в течение нескольких часов создавали домены-клоны, чтобы перехватить испуганных пользователей, искавших способы отозвать разрешения на токены. Компания описала апрель 2026 года как «худший месяц для краж криптовалюты в истории», сославшись на вывод более $629 млн в рамках более чем 20 инцидентов.
Что должны знать пользователи Yield Yak
Yield Yak — это протокол DeFi на Avalanche, который автоматически реинвестирует награды фарминга доходности и управляет агрегатором децентрализованной биржи, согласно его листингу на Alchemy. Пользователи, которые внесли активы через смарт-контракты основной платформы, не затронуты напрямую из-за компрометации фронтенда, поскольку базовые контракты остались неизменными. Риск applies для всех, кто посещал скомпрометированный поддомен и подключал кошелек или подписывал транзакцию.
На момент публикации ни Yield Yak, ни Gitcoin не выпустили публичных заявлений о статусе устранения последствий своих respective инцидентов. Ни одна компания по безопасности или блокчейн-расследователь не сообщала публично о подтвержденных потерях, связанных с компрометацией Yield Yak, и в настоящее время нет ончейн-доказательств, указывающих на масштаб потенциальной кражи. Blockaid посоветовал пользователям не взаимодействовать с затронутыми сайтами, пока проблема расследуется и устраняется.
Пользователи, которые подозревают, что взаимодействовали с vote.yieldyak.com, должны отозвать любые разрешения на токены, предоставленные во время сессии, с помощью надежного инструмента, и следить за своими кошельками на предмет несанкционированных переводов.
Если вы читаете это, вы уже впереди. Оставайтесь с нами, подписавшись на нашу рассылку.
Часто задаваемые вопросы
Что произошло с веб-сайтом Yield Yak?
По данным оповещения Blockaid в X от 24 июня 2026 года, компания обнаружила, что субдомен vote.yieldyak.com был внедрен вредоносным кодом "Eleven drainer", предназначенным для кражи криптоактивов при подключении кошельков пользователей.
Является ли Eleven Drainer тем же вредоносным ПО, которое поразило Gitcoin?
Да. Blockaid подтвердила, что атака на Yield Yak использовала тот же код Eleven drainer, который был обнаружен в файлах на субдомене files.gitcoin.co три дня ранее, и отметила, что оба инцидента происходили по схожему сценарию.
Пострадали ли смарт-контракты Yield Yak и депонированные средства?
Атаки на фронтенд направлены на сайт проекта, а не на его смарт-контракты. Пользователи, которые не посещали и не взаимодействовали с скомпрометированным поддоменом, не находятся в непосредственной опасности, однако всем, кто подключал кошелек для голосования на сайте vote.yieldyak.com, следует отозвать разрешения на использование токенов и проверить наличие несанкционированных транзакций.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ашиш Кумар
Ашиш Кумар — крипто- и финансовый журналист с восьмилетним опытом работы в новостных редакциях. Он освещает события на крипторынках, регулирование, DeFi и экосистемы бирж. Ашиш работал в Coingape, Todayq и Newsroompost. Он получил степень PGDP по английской журналистике в IIMC. Среди его интервью — представители индустрии, такие как Артур Хейс, Ят Сиу, Остин Федера и другие.
