- 区块链安全公司Blockaid发现Yield Yak的投票子域名遭受前端攻击，攻击者注入了名为Eleven的钱包窃取脚本。
- 此次攻击与Gitcoin近期发生的漏洞类似，表明黑客正越来越多地针对加密平台子域名而非核心智能合约发起攻击。
- 目前尚未公布确认的损失金额，但连接到该受损站点的用户可能已面临未经授权的交易风险。
区块链网络安全公司Blockaid于2026年6月24日检测到去中心化金融（DeFi）收益聚合平台Yield Yak网站的前端遭到黑客攻击。据Blockaid称，Yield Yak网站的前端已被恶意钱包drainer脚本入侵。这是几天内第二次发生针对主要加密货币交易所平台的此类攻击，也是近期针对主要加密货币平台的前端黑客攻击趋势的最新案例。
根据Blockaid的检测过程，子域名vote.yieldyak.com已被名为“Eleven drainer”的软件代码入侵。Wallet drainer是一种恶意脚本，通过用户批准的交易诱骗用户将数字资产发送给攻击者。恶意代码会在用户连接钱包的瞬间强制批准操作或将资产发送给攻击者，往往在用户甚至不知道自己在做什么之前。截至发稿时，Blockaid和Yield Yak均未提供因Yield Yak黑客攻击而遭受损失数量的信息。
攻击者使用经典剧本
Yield Yak遭受的黑客攻击与几天前在开源资助平台Gitcoin上发现的漏洞相似。据Blockaid在6月21日报道，files.gitcoin.co（Gitcoin的一个子域名）拥有相同的Eleven drainer代码，并警告人们远离该平台，因为该平台正在接受检查。Blockaid直接将这两起黑客攻击联系起来，指出Yield Yak的攻击“遵循了昨天Gitcoin上的事件，其运作方式类似。”
🚨Blockaid的系统已识别出对yieldyak[.]com的前端攻击，由 @yieldyak_发起。该网站的子域名 – vote[.]yieldyak[.]com现在包含eleven drainer的代码。
— Blockaid (@blockaid_) 6月24，2026
这紧随昨天在 @gitcoin 发生的事件之后，其运作方式类似 pic.twitter.com/YFmWEYfa7D
在这两起事件中，子域名遭到入侵，而非核心应用程序界面。Yield Yak的核心产品——Avalanche上的自动复利收益耕作协议——运行在主域名上。被入侵的投票子域名似乎是一个次要入口点，但任何访问它的人都面临钱包被清空的风险。
缺乏确切的损失数据并不总是意味着后果轻微。前端漏洞通常需要经过数小时甚至数天的调查过程，当安全团队识别出钱包之间的交互并检查用户是否执行了恶意交易时。在今年其他drainer案例中，损失从数千美元到数百万美元不等，具体取决于在恶意代码被删除之前连接钱包的人数。例如，在Blockaid监控的一起事件中，黑客在5月利用第三方模块漏洞从86个Safe钱包中窃取了约320万美元。第二个例子是流动性提供商TrustedVolumes被利用，导致590万美元的损失。
前端攻击激增
提到的Yield Yak和Gitcoin黑客攻击是今年困扰加密货币社区的更大趋势的一部分。前端攻击是指攻击者利用项目网站而不影响智能合约，这种攻击在主要DeFi平台上的频率有所增加。
今年早些时候，OpenEden、Curvance和Maple Finance在2月的一周内都遭受了前端攻击。这些攻击使用了名为AngelFerno的不同drainer工具包，但遵循相同的方法：获取项目网络基础设施的访问权限，插入劫持钱包连接的代码，并等待用户进行交互。
Blockaid记录了2026年4月更加激进的模式。在Drift Protocol、KelpDAO和其他平台发生高调漏洞利用之后，drainer运营商在几小时内建立了相似域名，以拦截惊慌失措、正在寻找撤销代币批准方法的用户的访问。该公司将2026年4月描述为“有记录以来加密货币盗窃最严重的一个月”，指出在20多起事件中，超过6.29亿美元被盗。
Yield Yak用户应知悉的事项
根据Alchemy上的 listings 信息，Yield Yak是Avalanche上的一个DeFi协议，它自动复利收益耕作奖励并运营去中心化交易所聚合器。通过主平台智能合约存入资产的用户不会直接受到前端入侵的影响，因为底层合约保持不变。风险适用于任何访问被入侵子域名并连接钱包或签署交易的人。
截至发稿时，Yield Yak和Gitcoin均未就其各自事件的补救状态发布公开声明。没有安全公司或区块链调查员公开报告与Yield Yak入侵相关的确认损失，目前也没有链上证据表明任何潜在盗窃的规模。Blockaid建议用户不要与正在调查和补救的问题网站进行交互。
怀疑自己与vote.yieldyak.com交互的用户应使用可信工具撤销在会话期间授予的任何代币批准，并监控其钱包是否有未经授权的转账。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
常见问题
Yield Yak的网站发生了什么？
根据Blockaid于2026年6月24日在X平台上发布的警报，其安全团队发现Yield Yak的子域名vote.yieldyak.com被植入了恶意的"Eleven drainer"代码，该代码旨在当用户连接钱包时窃取加密资产。
Eleven Drainer是否与攻击Gitcoin的恶意软件相同？
是的。Blockaid确认，Yield Yak的攻击使用了三天前在Gitcoin的files.gitcoin.co子域名上发现的相同Eleven drainer代码，并指出这两起事件的运作方式相似。
Yield Yak的智能合约和存入的资金是否受到影响？
前端攻击针对的是项目网站，而非其智能合约。未访问或交互过被攻陷子域名的用户不直接面临风险，但任何连接到 vote.yieldyak.com 进行投票的用户都应撤销代币授权并检查是否存在未经授权的交易。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Ashish Kumar
Ashish Kumar 是一位拥有八年新闻室经验的加密货币和金融记者。他报道加密货币市场、监管、DeFi 和交易所生态系统的最新动态。他曾与 Coingape、Todayq 和 Newsroompost 合作。Ashish 在 IIMC 获得了英语新闻学研究生文凭。他还采访过包括 Arthur Hayes、Yat Siu、Austin Federa 在内的行业人物。
