Points clés
- Un pirate informatique a exploité une vulnérabilité de "frappe infinie" dans le produit yETH de Yearn Finance, ce qui lui a permis de créer un nombre illimité de tokens yETH et de voler environ 3 millions de dollars d'un pool de liquidité en une seule transaction
- Les fonds volés d'environ 1 000 ETH ont été blanchis via le mixeur de confidentialité sanctionné Tornado Cash
- Yearn Finance a précisé que ses coffres principaux n'ont pas été affectés par cette cyberattaque
Yearn Finance, un protocole décentralisé majeur, a confirmé la récente violation de sécurité sur sa plateforme. Le 30 novembre, l'exploitation a eu lieu sur le protocole, ciblant le yETH de Yearn.
Selon un rapport, une transaction hautement sophistiquée a permis à un attaquant de créer une offre presque illimitée de tokens yETH. Cette fausse offre a ensuite été utilisée pour vider environ 3 millions de dollars d'actifs réels des pools de liquidité connectés.
Peu après cette transaction suspecte, les données on-chain ont révélé que les fonds volés, environ 1000 ETH, ont été envoyés via Tornado Cash, un outil de confidentialité qui rend extrêmement difficile le traçage des transactions de cryptomonnaie.
Qu'est-ce que yETH ?
yETH est un indice de token de staking liquide. Son objectif est de simplifier le staking sur le réseau Ethereum pour les utilisateurs quotidiens. Au lieu de choisir un seul service de staking, yETH utilise automatiquement une combinaison de nombreux tokens de staking populaires, y compris le stETH de Lido et le rETH de Rocket Pool, en un seul token.
Cela permet aux utilisateurs de diversifier leurs actifs générateurs de rendement. Le produit est devenu si populaire qu'il détenait plus de 8,82 millions de dollars en valeur totale verrouillée sur le protocole, selon DefiLIama.
Que s'est-il passé sur Yearn Finance ETH ?
Selon l'expert, l'attaquant a profité de la vulnérabilité infinie du protocole dans le smart contract yETH. En termes simples, cette faille a permis à l'attaquant de générer une quantité massive et non autorisée de tokens yETH sans fournir la garantie requise pour générer ces tokens.
(Source : Togbe sur X)
Le 30 novembre, l'attaquant a utilisé des smart contracts nouvellement créés pour interagir avec le système yETH. Ces contrats ont trompé le système et contourné de manière décisive les contrôles de sécurité normaux. En une seule transaction, l'attaquant a frappé des billions de tokens yETH à partir de rien.
Cette énorme quantité de yETH sans valeur a ensuite été immédiatement échangée contre des actifs précieux comme ETH et stETH dans un pool de liquidité Balancer. Cela a permis à l'attaquant de vider ce pool.
Un enquêteur on-chain a été parmi les premiers à tracer l'activité suspecte sur le réseau, indiquant que le pool avait été vidé pour un profit d'environ 1 000 ETH. Après l'attaque, la valeur du pool a chuté à presque zéro. Selon un rapport, l'attaquant a réussi à s'enfuir avec environ 3 millions de dollars après avoir pris en compte les coûts de transaction.
Pour camoufler ces traces, les contrats malveillants dans le piratage ont été programmés pour s'autodétruire immédiatement après le vol. C'est une technique courante utilisée dans ce type de piratage.
Le pirate informatique s'est ensuite rapidement mis à blanchir les fonds volés. La somme totale de 1 000 ETH a été divisée en lots plus petits et envoyée via Tornado Cash. Cette plateforme est développée pour effacer la trace de la cryptomonnaie, et auparavant, elle a été officiellement sanctionnée par le gouvernement américain car elle est souvent utilisée par des criminels pour cacher leurs fonds.
Yearn Finance enquête sur l'incident
Après ce piratage, l'équipe de Yearn Finance a publié une déclaration officielle, confirmant qu'ils enquêtaient sur l'exploitation impliquant le pool yETH spécifique.
Cependant, ils ont assuré que leurs Yearn Vaults, qui géraient plus d'un demi-milliard de dollars, n'étaient pas du tout affectés. Cette isolation du problème a évité une catastrophe bien plus importante. Yearn a précisé que yETH est un indice expérimental qui fonctionne séparément de son système de coffre-fort principal sécurisé.
Ce n'est pas la première fois que Yearn Finance subit une cyberattaque. En avril 2023, le protocole a subi une exploitation similaire en raison d'un contrat ancien et obsolète, qui a permis à l'attaquant de voler 11 millions de dollars.
Source : https://www.cryptonewsz.com/yearn-finance-hack-3-m-lost-yeth-exploit/
