Dev Altcoin’e Büyük Şok: Havuzda Sınırsız Token Üretimi Yapıldı, Boşaltıldı!
Yearn Finance’in yETH ürününe yönelik gerçekleştirilen saldırı sonucu havuz neredeyse sınırsız yETH üretimi ile boşaltıldı ve protokol toplamda 9 milyon dolar kayıp bildirdi.
Yearn Finance cephesinde hafta sonu büyük bir kriz yaşandı. Popüler getiri protokolünün yETH ürünü, zincir üstü verilere göre tek bir işlemle boşaltıldı. Saldırganın, akıllı sözleşmedeki açık üzerinden neredeyse sınırsız miktarda yETH üretip havuzu çekmesi sonucu milyonlarca dolar değerindeki liquid staking token kayba uğradı.
Blockchain kayıtlarına göre saldırgan, yeni dağıtılmış birkaç akıllı sözleşmeyi kullanarak havuzu tek hamlede sıfırladı ve işlemin ardından bu sözleşmeler kendi kendini imha etti. Yalnızca bu işlem sırasında 1.000 ETH’nin (yaklaşık 3 milyon dolar) Tornado Cash üzerinden karıştırıldığı görüldü. yETH havuzunun saldırı öncesi yaklaşık 11 milyon dolar büyüklüğe sahip olduğu belirtiliyor.
Yearn Finance, yaptığı açıklamada olayı doğrulayarak yETH LST stableswap havuzunun hedef alındığını ve Yearn Vaults (V2 ve V3) ürünlerinin etkilenmediğini vurguladı. Ekibin paylaştığı son açıklamaya göre zararın boyutu netleşti. Protokol toplamda 9 milyon dolar kayıp yaşadı; bunun 8 milyon doları yETH stableswap havuzundan, 0.9 milyon doları ise Curve üzerindeki yETH WETH havuzundan geldi.
“Sınırsız Mint” Açığının Ardındaki Karmaşık Mekanizma
Saldırının ilk olarak zincir analisti Togbe tarafından fark edildiği belirtildi. Togbe, transferleri takip ederken “yETH super mint mekanizmasının saldırgana havuzu boşaltma imkanı verdiğini” ifade etti. Yearn ekibi, saldırının yüksek derecede karmaşık olduğunu açıklayarak, sürecin SEAL 911 ve ChainSecurity ile birlikte detaylı şekilde incelendiğini duyurdu.
Yearn ekibi, bu saldırının yakın dönemde gerçekleşen Balancer hack’iyle benzer karmaşıklık seviyesine sahip olduğuna dikkat çekti ve kullanıcıları post mortem raporu için beklemeye çağırdı. Ayrıca, etkilenen kodun yalnızca bu ürünle sınırlı olduğunu ve başka hiçbir Yearn ürününde kullanılmadığını belirtti.
Yearn Finance’in Geçmişteki Güvenlik Sorunları
Yearn Finance daha önce 2021’de yDAI kasasında 11 milyon dolarlık bir kayıp yaşamış, ayrıca 2023’te hatalı bir script nedeniyle hazinesinin bir kısmı erimişti. Protokolün kurucusu Andre Cronje, 2020’de başlattığı projeden 2022’de ayrılmıştı.
