یرن فایننس با یک رخنه امنیتی بزرگ مواجه شده است که منجر به از دست رفتن حدود ۹ میلیون دلار شده است.
این سوءاستفاده یک استخر قدیمی استیبل سواپ مرتبط با توکن yETH این پروتکل را هدف قرار داد که به هکرها اجازه داد تعداد نامحدودی کوین ضرب کنند.
نقص در قرارداد yETH
شرکت امنیت بلاکچین Peckshield اولین بار این حادثه را در شبکه اجتماعی X گزارش کرد و اعلام کرد: «یرن فایننس مورد حمله قرار گرفت و در مجموع حدود ۹ میلیون دلار از دست رفت.»
به گفته تحلیلگران، مهاجم از یک آسیبپذیری حیاتی در قرارداد توکن yETH سوءاستفاده کرد که به او اجازه میداد بدون ارائه وثیقه کافی، yETH جدید ضرب کند و عملاً عرضه این توکن را به دلخواه افزایش دهد. این حفره سپس برای تخلیه نقدینگی از استخری خارج از محصولات اصلی والت یرن مورد استفاده قرار گرفت.
هدف این حمله، قراردادی سفارشی بود که برای تجمیع مشتقات استیک شده اتریوم مانند stETH و rETH ساخته شده بود. پروتکل بعداً اعلام کرد که استخر yUSND و والتهای Nerite امن باقی ماندهاند و تحت تأثیر این نقص قرار نگرفتهاند. پس از حمله، مهاجمان بیش از ۳ میلیون دلار از اتریومهای سرقتشده را از طریق تورنادو کش پولشویی کردند. در همین حال، ۶ میلیون دلار باقیمانده از داراییهای استیک شده اتریوم همچنان در آدرس کیف پول آنها باقی مانده است.
یرن همچنین تأیید کرد که این نقص رخ داده است. طبق گزارش، ۹۰۰ هزار دلار از استخر استیبلسواپ yETH-WETH در Curve از دست رفته و ۸ میلیون دلار دیگر نیز از استخر آسیبدیده خارج شده است. به کاربران آسیبدیده توصیه شد که برای پیگیری، تیکت پشتیبانی در دیسکورد پروژه باز کنند.
یافتههای اولیه تحقیقات
این پلتفرم اعلام کرد که یک تیم ویژه متشکل از SEAL911 و شریک حسابرسی خود، Chain Security، تشکیل داده و بررسی کامل حادثه در حال انجام است.
یافتههای اولیه نشان میدهد که این حادثه از نظر پیچیدگی فنی مشابه هک اخیر Balancer بوده است. در آن حمله نیز بیش از ۱۲۰ میلیون دلار از پروتکل اصلی و چندین فورک آن به سرقت رفت.
تحلیلگران آنچین، رویداد Balancer را به یک باگ از دست دادن دقت در محاسبات عدد صحیح ثابت نسبت دادند که برای محاسبه ضریب مقیاس در استخرهای Composable Stable استفاده میشود؛ این استخرها برای جفت داراییهای نزدیک به هم مانند USDC/USDT یا WETH/stETH بهینه شدهاند.
شرکت SlowMist بعداً اعلام کرد که این نقص باعث ایجاد اختلافات قیمتی جزئی اما مکرر در زمان سواپها شده، بهویژه زمانی که مهاجمان چندین عملیات را در یک تراکنش با استفاده از تابع batch swap انجام دادهاند.
در همین حال، حادثه یرن مدت کوتاهی پس از آن رخ داد که صرافی کرهای Upbit نیز دچار نقص امنیتی شد و ۵۰ میلیون دلار اتریوم از دست داد.
منبع: لینک خبر
