Yearn Finance 在 900 万美元黑客攻击后开始追回资金，将向存款人退还 239 万美元

Yearn Finance 已开始追回被盗资金的程序，当时 900 万美元的漏洞利用袭击了其 yETH 稳定swap 池，时间为 11 月 30 日。

该 DeFi 协议宣布成功追回价值 239 万美元的资产，这些资产将退还给受影响的存款人。

正如 Cryptopolitan 报道，漏洞利用发生在 UTC 21:11，并针对稳定swap 代码的自定义版本。Yearn Finance 确认，其主要 V2 和 V3 金库产品未受事件影响，对用户保持安全。

Yearn Finance 在协调行动中恢复了 2.39 百万美元

协议宣布 通过与 Plume 和 Dinero 团队合作，恢复了价值 239 万美元的 857.49 pxETH。Yearn Finance 表示，恢复过程仍在进行中，任何恢复的其他资产都将退还给受影响的存款人。

追回行动发生在初始漏洞利用后的几天内。由 SEAL911 和审计合作伙伴 ChainSecurity 组成的战室仍在活跃状态，全面事后调查仍在继续。安全响应涉及追踪被盗资产的流动并努力防止进一步损失。

yETH 更新：在 Plume 和 Dinero 团队的协助下，协调恢复了 857.49 pxETH（239 万美元）。恢复工作仍在积极进行中。任何成功恢复的资产都将退还给受影响的存款人。https://t.co/xaClNhd0C0

— yearn (@yearnfi) 十二月 1, 2025

$9百万漏洞事件解析

collectively，两个池子损失了约 900 万美元。受影响最重的是受影响的稳定swap 池，损失了约 800 万美元。Curve 也遭受了损失，yETH-WETH Stableswap 被清空了另外 90 万美元。

攻击者利用了一个可以铸造大量 yETH 令牌的漏洞。根据 Yearn Finance 的初步分析，黑客在没有提供必要抵押品的情况下铸造了约 235 万亿 yETH。

通过使用膨胀的代币余额，攻击者能够将无支持的 yETH 从稳定swap 池中交换为合法的流动性质押资产，如 stETH、rETH 和 cbETH，以及从 Curve 池中交换包装以太坊。

旧池漏洞暴露

该合约是流行稳定swap 代码之一的自定义版本，独立于 Yearn Finance 的其他产品。该协议强调，没有其他 Yearn 产品使用与攻击中受损代码类似的代码。

该漏洞涉及与 yETH 代币相关的较旧、遗留合约。这允许攻击者在没有必要抵押支持的情况下铸造新代币， essentially 凭空创造代币。

Yearn Finance 解释说，初步分析将此黑客攻击置于与最近的 Balancer 漏洞利用 相似的复杂程度。yETH 稳定swap 池未连接到主要的 Yearn V2 和 V3 金库基础设施，这有助于隔离黑客攻击，从而阻止漏洞利用蔓延到其核心产品。

攻击者通过混合器洗钱

攻击者在漏洞利用后的几个小时内开始移动被盗资产以掩盖其踪迹。约 1000 ETH，价值约 300 万美元，随后被转移到加密货币混合服务 Tornado Cash。

截至 12 月 1 日，约 600 万美元的被盗资金仍留在攻击者钱包地址 0xa80d.c822。剩余资金主要由尚未洗钱的质押 ETH 衍生品组成。

Yearn Finance 团队发布了明确声明，表明其金库的核心产品不受漏洞利用的影响。V2 和 V3 金库位于单独的智能合约中，其代码库与受影响的旧池不同。

在 Yearn V2 和 V3 金库中有资金的用户无需采取任何行动。该协议解释说，11 月 30 日发生的事件仅影响特定 yETH 稳定swap 池中的存款人。

11 月加密货币安全事件

Yearn Finance 的黑客事件为加密货币安全的一个困难月份画上了句号。2025 年 11 月 见证了多个高调平台和协议近 2 亿美元的损失。

本月最大的事件是 Balancer 遭受的 1.34 亿美元漏洞利用，由智能合约逻辑中的舍入错误引起。韩国交易所 Upbit 遭受热钱包被入侵，导致损失在 3000 万至 3800 万美元之间。

其他 11 月事件包括 GANA Payment 的 310 万美元智能合约接管，以及 Hyperliquid 因价格操纵造成的约 500 万美元损失。