Yearn відновлює 2,4 мільйона доларів викрадених активів через баг «неперевіреної арифметики»
Швидкий огляд: OG DeFi протокол Yearn Finance втратив близько 9 мільйонів доларів унаслідок експлойту в неділю, коли зловмисник зміг створити майже необмежену кількість токенів yETH і спустошити пул Yearn Ether stableswap. Команда заявила, що місія з відновлення триває, і що їхні протоколи V2 та V3 не перебувають під загрозою.
Команда Yearn Finance повернула приблизно 2,4 мільйона доларів США вкрадених активів після останньої атаки на застарілий DeFi-протокол, тоді як загальні оцінені втрати наближаються до 9 мільйонів доларів, згідно з оновленням у понеділок. Скоординована місія з відновлення “активна та триває”, йдеться у дописі на X.
У неділю вразливість у колись популярному протоколі yield-farming була використана для виведення активів з пулу Yearn Ether (yETH) stableswap та меншого пулу yETH‑WETH на Curve. Це вже третя атака на Yearn з 2021 року, і вона, за словами Yearn, була “подібної високої складності” до нещодавнього злому Balancer.
Згідно з опублікованим у понеділок постмортемом, “корінна причина” полягає у “неперевіреній арифметиці” та інших “дизайнерських недоліках”, які дозволили зловмиснику створити 2.3544x10^56 токенів yETH — майже нескінченну кількість — і використати їх для виведення ліквідності з протоколу.
“Фактичні транзакції експлойту відбуваються за такою схемою: після величезної емісії йде серія виведень, які переводять реальні активи до зловмисника, тоді як загальна пропозиція токенів yETH фактично не має значення”, йдеться у постмортемі.
Yearn зазначає, що атака була цілеспрямованою і не повинна вплинути на їхні сховища V2 або V3. “Будь-які успішно повернуті активи будуть повернуті постраждалим вкладникам”, додала команда.
Як раніше повідомляв The Block, зловмисник зміг перевести щонайменше 1 000 ETH і декілька токенів ліквідного стейкінгу до анонімізатора Tornado Cash. Yearn разом із криптобезпековими компаніями SEAL 911 та ChainSecurity співпрацювали з Plume network для повернення 857,49 pxETH на момент публікації.
BlockScout повідомив, що хакер розгорнув самознищувальні “helper contracts” у рамках атаки. Ці вставки коду — це спеціалізовані допоміжні смарт-контракти, які використовуються для виконання автоматизованих завдань і часто зловживаються під час flash loan атак, що потребують кількох кроків у межах однієї транзакції.
Зловмисник, наприклад, використав допоміжний контракт для маніпуляції вразливою функцією yETH, емісії абсурдної кількості токенів і виведення коштів із протоколу, після чого знищив контракт. “Self-destruct видаляє байткод, роблячи контракт непридатним для читання надалі, але транзакції створення та логи зберігаються”, повідомив Blockscout.
"Початковий аналіз показав, що цей злом має подібний рівень складності до нещодавнього злому Balancer, тому просимо зачекати, поки ми проведемо постмортем-аналіз," заявили в Yearn у неділю. "Жоден інший продукт Yearn не використовує подібний код до того, що був скомпрометований."
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
Спокійний період на американському фондовому ринку завершився! S&P 500 припинив рекорд із 53 торгових днів без падіння більше ніж на 1%. Продавальна хвиля акцій AI посилює занепокоєння на ринку.
Індекс S&P 500 знизився на 1,1%, поклавши край рекордному періоду з 53 торгових днів без падіння на 1% чи більше — це найтриваліший спокійний період з січня 2020 року.
Федеральна резервна система Бежевої книги: економіка США помірно зростає, але інфляційний тиск посилюється; AI підвищує продуктивність, зменшуючи потребу у наймі працівників для деяких компаній
Останній Beige Book, опублікований Federal Reserve у середу, показує, що економічна активність у США загалом продовжує зростати, проте ситуація в різних регіонах відрізняється; споживчі витрати залишаються слабкими, а на ринку праці суттєвих змін не відбулося.
Нічний американський фондовий ринок | інфляція у вересні залишається високою, три основні індекси падають, Coreweave (CRWV.US) знижується більш ніж на 15%
Станом на закриття, індекс Dow Jones знизився на 47,96 пункту (0,09%) до 51622,14 пункту; індекс S&P 500 знизився на 85,95 пункту (1,10%) до 7719,50 пункту; індекс Nasdaq Composite знизився на 511,51 пункту (1,88%) до 26692,87 пункту.
S&P 500 завершив найдовший за понад шість років період спокою, вперше за 53 торгові дні впав більш ніж на 1%, хвиля AI-трейдингу спадає
Основною причиною падіння американських акцій у середу стало перевищення очікувань інде ксу споживчих цін (CPI) США за вересень у поєднанні з ризиками кредитування в сфері AI. Це падіння було особливо несприятливим для кількісних фондів, які останнім часом нарощували позиції на тлі дуже низької волатильності. Порушення спокійного періоду спричинило тиск на корекцію позицій. Наразі сила падіння залишається помірною, індекс VIX коливається біля позначки 17, що нижче порогового рівня 20, який зазвичай свідчить про ринковий стрес.
Ціни на криптовалюти
Більше
