Yearn Finance Soupçonné d'attaque, un pirate envoie 1 000 ETH de fonds volés à Tornado Cash

BlockBeats News, le 1er décembre, selon The Block, Yearn Finance semble avoir été attaqué, son produit Yearn Ether (yETH), qui agrège les populaires Liquid Staking Tokens (LST), étant vidé de millions de dollars d'actifs LST.

Les données de la blockchain montrent que l'attaquant a exploité une vulnérabilité soigneusement conçue pour frapper près d'une quantité infinie de jetons yETH en une seule transaction, vidant complètement le pool. L'attaque a permis d'envoyer 1 000 EPF (évalués à environ 3 millions de dollars au prix actuel) au protocole de confidentialité Tornado Cash. Cette attaque a impliqué de multiples contrats intelligents nouvellement déployés, dont certains se sont autodétruits après la transaction. L'ampleur exacte de la perte n'est pas claire à l'heure actuelle, mais avant l'attaque, la taille de la piscine yETH était d'environ 11 millions de dollars.

Ce piratage a été découvert pour la première fois par l'utilisateur X, Togbe, qui a remarqué l'attaque en surveillant les gros transferts. « Le transfert sur le net montre une sur-mention de yETH qui a permis à l'attaquant de drainer le pool d'une manière ou d'une autre et de faire un bénéfice d'environ 1000 ETH », a déclaré Togbe dans le message. « Une partie de l'EPF a été sacrifiée en cours de route pour des raisons inconnues, mais elle a quand même réalisé des bénéfices au final. »

« Nous enquêtons sur l'incident impliquant le pool yETH LST StableSwap », a déclaré Yearn sur X, « les coffres V2 et V3 de Yearn ne sont pas affectés. »

Yearn Finance a déjà subi une attaque en 2021, affectant son coffre-fort d'assurance yDAI, entraînant une perte de 11 millions de dollars, le pirate ayant finalement bénéficié de 2,8 millions de dollars. En décembre 2023, le protocole a connu une perte de 63 % dans l'une de ses positions de coffre-fort à cause d'une erreur de script, mais les fonds des utilisateurs n'ont pas été affectés. Le fondateur de Yearn, Andre Cronje, a lancé le projet en 2020 et est parti deux ans plus tard.