Yearn Finance suspeita de ataque, Hacker já enviou 1.000 ETH de fundos roubados para Tornado Cash

No dia 1 de dezembro, segundo o The Block, a Yearn Finance parece ter sido atacada, com seu produto Yearn Ether (yETH), que agrega LST (Token de stake líquido) populares, tendo milhões de dólares em ativos LST roubados. Dados da blockchain mostram que o atacante, através de uma vulnerabilidade cuidadosamente elaborada, cunhou quase uma quantidade infinita de tokens yETH em uma única transação, esvaziando completamente o pool. A transação de ataque resultou no envio de 1.000 ETH (cerca de 3 milhões de dólares pelo preço atual) para o protocolo de mistura Tornado Cash. O ataque envolveu vários contratos inteligentes recém-implantados, alguns dos quais se autodestruíram após a transação. Não está claro qual é a escala exata da perda, mas antes do ataque, o tamanho do pool yETH era de cerca de 11 milhões de dólares. O comportamento do hacker foi inicialmente descoberto pelo usuário do X Togbe, que notou o ataque enquanto monitorava grandes transferências. “As transferências líquidas mostram que a cunhagem excessiva de yETH permitiu que o atacante esvaziasse o fundo de alguma forma e obtivesse cerca de 1.000 ETH em lucros”, disse Togbe em uma mensagem. “Por algum motivo, parte do ETH foi sacrificada no processo, mas eles conseguiram lucrar no final.” “Estamos investigando o incidente envolvendo o pool de troca estável yETH LST”, disse a Yearn no X, “Os Vaults V2 e V3 da Yearn não foram afetados.” A Yearn Finance já havia sofrido um ataque em 2021, afetando seu vault yDAI, resultando em uma perda de 11 milhões de dólares, com o hacker obtendo um lucro de 2,8 milhões de dólares. Em dezembro de 2023, o protocolo sofreu uma perda de 63% em um de seus vaults devido a um erro de script, mas os fundos dos usuários não foram afetados. O fundador da Yearn, Andre Cronje, criou o projeto em 2020 e saiu dois anos depois.