Sicherheitslücke bei Yearn Finance: 2,8 Millionen YETH-Angriff
Ein "Infinite-Mint"-Angriff traf das yETH von Yearn Finance, wobei 2,8 Millionen aus den Balancer-Pools abgezogen wurden und eine abnormale Marktreaktion auf den YFI-Token ausgelöst wurde.
Yearn Finance bestätigte am späten Sonntagabend eine aktive Sicherheitslücke, die sein yETH-Produkt betraf. Der Vorfall ereignete sich, nachdem es einem Angreifer gelungen war, eine effektiv unbegrenzte Menge an yETH zu prägen und somit Liquidität aus den Pools von Balancer abzuziehen.
Der Vorfall löste intensive On-Chain-Bewegungen aus, darunter mehrere 100 ETH-Transaktionen, die durch Tornado Cash geleitet wurden.
Der 'Infinite-Mint'-Angriff und der Liquiditätsabfluss
Den Blockchain-Daten zufolge ereignete sich der Angriff gegen 21:11 UTC am 30. November, als ein bösartiges Wallet einen als "Infinite-Mint" bekannten Angriff ausführte. Mit einer einzigen Transaktion schuf der Angreifer die riesige Summe von rund 235 Billionen YETH.
Das Warnsystem von Nansen bestätigte später den Angriff und identifizierte das Ereignis als "Infinite-Mint"-Schwachstelle im YETH-Token-Vertrag und nicht in der Vault-Infrastruktur von Yearn. Durch die Ausnutzung des neu geprägten yETH-Pools war der Angreifer in der Lage, echte Vermögenswerte - hauptsächlich ETH und Liquid Staking Tokens (LSTs) - aus den Liquiditätspools von Balancer abzuziehen. Erste Schätzungen deuten darauf hin, dass Vermögenswerte im Gesamtwert von rund 2,8 Millionen Dollar abgezogen wurden.
Einige andere Balancer-bezogene Aktionen scheinen ein Exploit zu sein, wenn man die starken Interaktionen mit Tornado bedenkt. Togbe hat auf X gesagt, dass Yearn, Rocket Pool, Origin, Dinero und andere LSTs involviert sind.
Die Unhit-Systeme und das Recycling nach einem Angriff
Etwa 1.000 ETH wurden transferiert und über Tornado Cash "recycelt". Der Angreifer zeigte eine akribische Planung und setzte mehrere Helferverträge ein, die Minuten vor dem Vorfall eingesetzt wurden und sich kurz darauf selbst zerstörten, um den Transaktionspfad zu verschleiern.
Yearn wollte die Community beruhigen und erklärte, dass seine V2- und V3-Tresore nicht von dem Angriff betroffen waren. Die Sicherheitslücke scheint, wie bereits erwähnt, nur auf die ältere yETH-Implementierung beschränkt zu sein. Trotz des Vorfalls liegt der Total Locked Value (TVL) des Protokolls laut CoinGecko weiterhin bei über 600 Millionen US-Dollar, was darauf hindeutet, dass Kernsysteme und Kern-Fonds nicht kompromittiert wurden.
Der seltsame „Short Squeeze” des YFI-Tokens
Die Marktreaktion führte zu einer unerwarteten Anomalie. Unmittelbar nachdem der Exploit in den sozialen Medien gemeldet wurde, stieg der Preis des Governance-Tokens von Yearn, YFI, sprunghaft an und kletterte in weniger als einer Stunde von etwa 4.080 US-Dollar auf über 4.160 US-Dollar.
Dieser anomale Anstieg scheint auf eine Fehlinterpretation des Marktes in den ersten Momenten des Vorfalls zurückzuführen zu sein. Anfängliche und allgemeine Berichte über einen "Yearn's Exploit" veranlassten Händler dazu, stark fremdfinanzierte Short-Positionen auf YFI zu eröffnen. Da der Angriff auf YETH beschränkt war und die großen Vaults nicht betroffen waren, begannen Short-Seller schnell, ihre Positionen abzusichern.
Diese erzwungene Schließung löste einen Short Squeeze und einen anschließenden volatilitätsbedingten Preisanstieg aus. Mit einem zirkulierenden Angebot von nur 33.984 Token ist YFI eines der am wenigsten liquiden Governance-Assets von DeFi, eine Struktur, die Preisbewegungen stark verstärkt.
Zurzeit scheinen sich die Verluste auf die von dem Exploit betroffenen Pools yETH und Balancer zu beschränken. Die Ermittlungen sind noch nicht abgeschlossen, und es ist unklar, ob es Möglichkeiten zur Wiederherstellung der gestohlenen Vermögenswerte gibt. Die Märkte warten auf eine formelle Mitteilung von Yearn, in der die Ursache, die Patching-Bemühungen und mögliche Maßnahmen der Unternehmensführung dargelegt werden.
Upbit setzt Ein- und Auszahlungen nach einem Hackerangriff aus, bei dem 32 Millionen Solana-Token veruntreut wurden, was zu hohen Aufschlägen auf dem koreanischen Markt führte.
Ein Raubüberfall auf Kryptowährungen im Vereinigten Königreich, bei dem mehr als 4,3 Millionen Euro erbeutet wurden, stellt die Sicherheit der Selbstverwahrung und die Risiken des menschlichen Faktors in Frage.
China beschuldigt Washington, im Jahr 2020 127.000 BTC von LuBian "abgezogen" zu haben. Forscher bringen den Exploit mit einer Schwachstelle in der Schlüsselgenerierung in Verbindung.
Eleven Drainer, ein neuer Phishing-as-a-Service, expandiert sein Geschäft. Trotz der Raffinesse der Angriffe bleibt menschliches Versagen die größte Schwachstelle. Die Verteidigung liegt in der Disziplin der Benutzer.
Erhalten Sie die neuesten Nachrichten, lernen Sie von Experten, entdecken Sie neue Tools und lassen Sie sich inspirieren - direkt in Ihrem Posteingang.
Yearn Finance bestätigte am späten Sonntagabend eine aktive Sicherheitslücke, die sein yETH-Produkt betraf. Der Vorfall ereignete sich, nachdem es einem Angreifer gelungen war, eine effektiv unbegrenzte Menge an yETH zu prägen und somit Liquidität aus den Pools von Balancer abzuziehen.
Der Vorfall löste intensive On-Chain-Bewegungen aus, darunter mehrere 100 ETH-Transaktionen, die durch Tornado Cash geleitet wurden.
Der 'Infinite-Mint'-Angriff und der Liquiditätsabfluss
Den Blockchain-Daten zufolge ereignete sich der Angriff gegen 21:11 UTC am 30. November, als ein bösartiges Wallet einen als "Infinite-Mint" bekannten Angriff ausführte. Mit einer einzigen Transaktion schuf der Angreifer die riesige Summe von rund 235 Billionen YETH.
Das Warnsystem von Nansen bestätigte später den Angriff und identifizierte das Ereignis als "Infinite-Mint"-Schwachstelle im YETH-Token-Vertrag und nicht in der Vault-Infrastruktur von Yearn. Durch die Ausnutzung des neu geprägten yETH-Pools war der Angreifer in der Lage, echte Vermögenswerte - hauptsächlich ETH und Liquid Staking Tokens (LSTs) - aus den Liquiditätspools von Balancer abzuziehen. Erste Schätzungen deuten darauf hin, dass Vermögenswerte im Gesamtwert von rund 2,8 Millionen Dollar abgezogen wurden.
Die Unhit-Systeme und das Recycling nach einem Angriff
Etwa 1.000 ETH wurden transferiert und über Tornado Cash "recycelt". Der Angreifer zeigte eine akribische Planung und setzte mehrere Helferverträge ein, die Minuten vor dem Vorfall eingesetzt wurden und sich kurz darauf selbst zerstörten, um den Transaktionspfad zu verschleiern.
Yearn wollte die Community beruhigen und erklärte, dass seine V2- und V3-Tresore nicht von dem Angriff betroffen waren. Die Sicherheitslücke scheint, wie bereits erwähnt, nur auf die ältere yETH-Implementierung beschränkt zu sein. Trotz des Vorfalls liegt der Total Locked Value (TVL) des Protokolls laut CoinGecko weiterhin bei über 600 Millionen US-Dollar, was darauf hindeutet, dass Kernsysteme und Kern-Fonds nicht kompromittiert wurden.
Der seltsame „Short Squeeze” des YFI-Tokens
Die Marktreaktion führte zu einer unerwarteten Anomalie. Unmittelbar nachdem der Exploit in den sozialen Medien gemeldet wurde, stieg der Preis des Governance-Tokens von Yearn, YFI, sprunghaft an und kletterte in weniger als einer Stunde von etwa 4.080 US-Dollar auf über 4.160 US-Dollar.
Dieser anomale Anstieg scheint auf eine Fehlinterpretation des Marktes in den ersten Momenten des Vorfalls zurückzuführen zu sein. Anfängliche und allgemeine Berichte über einen "Yearn's Exploit" veranlassten Händler dazu, stark fremdfinanzierte Short-Positionen auf YFI zu eröffnen. Da der Angriff auf YETH beschränkt war und die großen Vaults nicht betroffen waren, begannen Short-Seller schnell, ihre Positionen abzusichern.
Diese erzwungene Schließung löste einen Short Squeeze und einen anschließenden volatilitätsbedingten Preisanstieg aus. Mit einem zirkulierenden Angebot von nur 33.984 Token ist YFI eines der am wenigsten liquiden Governance-Assets von DeFi, eine Struktur, die Preisbewegungen stark verstärkt.
Zurzeit scheinen sich die Verluste auf die von dem Exploit betroffenen Pools yETH und Balancer zu beschränken. Die Ermittlungen sind noch nicht abgeschlossen, und es ist unklar, ob es Möglichkeiten zur Wiederherstellung der gestohlenen Vermögenswerte gibt. Die Märkte warten auf eine formelle Mitteilung von Yearn, in der die Ursache, die Patching-Bemühungen und mögliche Maßnahmen der Unternehmensführung dargelegt werden.
Weiter lesen
32 Millionen Upbit Hack: Token Solana zu Stars auf dem koreanischen Markt!
Upbit setzt Ein- und Auszahlungen nach einem Hackerangriff aus, bei dem 32 Millionen Solana-Token veruntreut wurden, was zu hohen Aufschlägen auf dem koreanischen Markt führte.
Krypto-Raub im Vereinigten Königreich: Verurteilungen und Risiko der Selbstverhaftung
Ein Raubüberfall auf Kryptowährungen im Vereinigten Königreich, bei dem mehr als 4,3 Millionen Euro erbeutet wurden, stellt die Sicherheit der Selbstverwahrung und die Risiken des menschlichen Faktors in Frage.
Krypto-Konflikt: Peking beschuldigt USA für LuBian's 127.000 BTC Bitcoin Exploit
China beschuldigt Washington, im Jahr 2020 127.000 BTC von LuBian "abgezogen" zu haben. Forscher bringen den Exploit mit einer Schwachstelle in der Schlüsselgenerierung in Verbindung.
Neuer Eleven Drainer-Angriff: Bedrohung für Krypto-Wallets
Eleven Drainer, ein neuer Phishing-as-a-Service, expandiert sein Geschäft. Trotz der Raffinesse der Angriffe bleibt menschliches Versagen die größte Schwachstelle. Die Verteidigung liegt in der Disziplin der Benutzer.