Yearn đã thu hồi được 2,4 triệu đô la tài sản bị đánh cắp do lỗi 'unchecked arithmetic'
Giao thức DeFi OG Yearn Finance đã bị mất khoảng 9 triệu đô la trong một vụ tấn công vào Chủ nhật, sau khi kẻ tấn công có thể tạo ra một lượng gần như vô hạn token yETH và rút cạn pool stableswap Ether của Yearn. Nhóm phát triển cho biết họ đang tiến hành các biện pháp khắc phục và các giao thức V2 và V3 của họ hiện không gặp rủi ro.
Nhóm Yearn Finance đã thu hồi được khoảng 2,4 triệu USD tài sản bị đánh cắp từ vụ khai thác gần đây nhất của giao thức DeFi cũ, khi tổng thiệt hại ước tính lên tới gần 9 triệu USD, theo một cập nhật vào thứ Hai. Một chiến dịch thu hồi phối hợp đang “diễn ra và tiếp tục,” một bài đăng trên X cho biết.
Vào Chủ nhật, một lỗ hổng trong giao thức yield-farming từng rất phổ biến đã bị khai thác để rút tài sản khỏi pool stableswap Yearn Ether (yETH) và pool yETH‑WETH nhỏ hơn trên Curve. Cuộc tấn công này, là lần thứ ba nhắm vào Yearn kể từ năm 2021, có “mức độ phức tạp cao tương tự” như vụ hack Balancer gần đây, Yearn cho biết.
Theo một báo cáo phân tích sau sự cố được công bố vào thứ Hai, “nguyên nhân gốc rễ” xuất phát từ một lỗi “tính toán không kiểm soát” và các “vấn đề thiết kế góp phần khác” cho phép kẻ tấn công mint ra 2.3544x10^56 token yETH — gần như là số lượng vô hạn — được sử dụng để rút thanh khoản khỏi giao thức.
“Các giao dịch khai thác thực tế tuân theo mô hình này: sau khi mint một lượng lớn, là một chuỗi các lần rút tiền chuyển tài sản thực cho kẻ tấn công, trong khi nguồn cung token yETH về cơ bản là vô nghĩa,” theo báo cáo phân tích sau sự cố.
Yearn lưu ý rằng cuộc tấn công này là có chủ đích và không ảnh hưởng đến các vault V2 hoặc V3 của họ. “Bất kỳ tài sản nào được thu hồi thành công sẽ được trả lại cho các nhà đầu tư bị ảnh hưởng,” nhóm cho biết thêm.
Như The Block đã đưa tin trước đó, kẻ tấn công đã chuyển ít nhất 1.000 ETH và một số token staking thanh khoản đến Tornado Cash để ẩn danh. Yearn, cùng với các công ty bảo mật crypto SEAL 911 và ChainSecurity, đã hợp tác với mạng lưới Plume để thu hồi được 857,49 pxETH tính đến thời điểm đăng tin.
BlockScout cho biết hacker đã triển khai các “hợp đồng trợ giúp” tự hủy như một phần của cuộc tấn công. Những đoạn mã này là các hợp đồng thông minh phụ trợ chuyên biệt được sử dụng để thực hiện các tác vụ tự động, và thường bị lạm dụng trong các cuộc tấn công flash loan đòi hỏi nhiều bước trong một giao dịch duy nhất.
Ví dụ, kẻ tấn công đã sử dụng một hợp đồng trợ giúp để thao túng chức năng yETH dễ bị tổn thương, mint một lượng token phi lý và rút cạn giao thức, trước khi tự hủy. “Tự hủy sẽ xóa bytecode, khiến hợp đồng không thể đọc được sau đó, nhưng các giao dịch tạo và log vẫn được lưu lại,” BlockScout cho biết.
“Phân tích ban đầu cho thấy vụ hack này có mức độ phức tạp cao tương tự như vụ hack Balancer gần đây, vì vậy xin hãy kiên nhẫn khi chúng tôi tiến hành phân tích sau sự cố,” Yearn cho biết vào Chủ nhật. “Không có sản phẩm Yearn nào khác sử dụng mã tương tự như phần bị ảnh hưởng.”
Tuyên bố miễn trừ trách nhiệm: Mọi thông tin trong bài viết đều thể hiện quan điểm của tác giả và không liên quan đến nền tảng. Bài viết này không nhằm mục đích tham khảo để đưa ra quyết định đầu tư.
Bạn cũng có thể thích
Chứng khoán châu Âu ghi nhận mức giảm lớn nhất trong hai tháng! Giá dầu vượt 100 làm dấy lên cảnh báo lạm phát, thị trường đặt cược ngân hàng trung ương châu Âu và Anh sẽ tăng lãi suất bốn lần
Chỉ số Stoxx Europe 600 giảm 1,41% vào thứ Tư, ghi nhận mức giảm trong ngày lớn nhất kể từ tháng 7. Khi giá dầu Brent lại vượt mốc 100 USD, các nhà giao dịch đặt cược Ngân hàng Trung ương châu Âu và Ngân hàng Trung ương Anh sẽ tăng tổng cộng khoảng 90 điểm cơ bản từ nay đến trước năm 2027. Lợi suất trái phiếu Đức kỳ hạn 2 năm hôm thứ Tư từng tăng lên 3,08%, mức cao nhất kể từ tháng 6 năm 2024. Tuy nhiên, nhiều nhà phân tích cảnh báo rằng định giá khả năng tăng lãi suất hiện tại có thể đã bị phóng đại, hiện chưa có bằng chứng về việc lạm phát lan rộng và rủi ro kinh tế suy giảm ở khu vực đồng euro sẽ hạn chế khả năng tăng lãi suất của ngân hàng trung ương.
Becent ra mắt tối nay: Quy mô kế hoạch mua lại trái phiếu Mỹ sắp được tiết lộ
Cá cược cổ phiếu theo giờ, ETF đòn bẩy của Phố Wall lại tiến hóa
Defiance ETFs đã nộp đơn lên SEC để ra mắt quỹ đòn bẩy với cơ chế tái cân bằng mỗi giờ, thực hiện sáu lần tái cân bằng mỗi ngày giao dịch và rút ngắn chu kỳ mục tiêu lợi nhuận từ “ngày” xuống “giờ”. Sản phẩm này cung cấp công cụ giao dịch nội ngày tinh vi hơn cho các nhà giao dịch chủ động, nhưng việc cộng dồn lãi lỗ thường xuyên cũng sẽ khuếch đại cả lợi nhuận lẫn thua lỗ, làm tăng thêm rủi ro biến động. Trong bối cảnh các cơ quan quản lý toàn cầu tăng cường giám sát ETF đòn bẩy, khả năng phê duyệt sản phẩm này vẫn còn nhiều bất ổn.
Giá tiền điện tử
Thêm
