Yearn récupère 2,4 millions de dollars d’actifs volés provenant d’un bug d’« arithmétique non vérifiée »
Le protocole OG DeFi Yearn Finance a perdu environ 9 millions de dollars lors d'une attaque exploitée dimanche, après qu'un attaquant a réussi à créer une quantité quasi infinie de jetons yETH et à vider un pool stableswap Ether de Yearn. L'équipe a déclaré qu'une opération de récupération est en cours et que ses protocoles V2 et V3 ne sont pas menacés.
L'équipe de Yearn Finance a récupéré environ 2,4 millions de dollars d'actifs volés lors de la dernière exploitation du protocole DeFi legacy, alors que les pertes totales estimées approchent les 9 millions de dollars, selon une mise à jour publiée lundi. Une mission de récupération coordonnée est « active et en cours », selon un post sur X.
Dimanche, une vulnérabilité dans le protocole de yield-farming autrefois populaire a été exploitée pour vider les actifs du pool stableswap Yearn Ether (yETH) ainsi que du plus petit pool yETH‑WETH sur Curve. L’attaque, la troisième visant Yearn depuis 2021, présentait une « complexité similaire » à celle du récent hack de Balancer, selon Yearn.
Selon un rapport post-mortem publié lundi, la « cause racine » provient d’un bug d’« arithmétique non vérifiée » et d’autres « problèmes de conception contributifs » qui ont permis à l’attaquant de minter 2,3544x10^56 tokens yETH — une quantité quasiment infinie — utilisés pour drainer la liquidité du protocole.
« Les transactions d’exploitation suivent ce schéma : le mint massif est suivi d’une séquence de retraits qui transfèrent les actifs réels à l’attaquant, tandis que l’offre de tokens yETH devient effectivement insignifiante », selon le rapport post-mortem.
Yearn précise que l’attaque était ciblée et ne devrait pas impacter ses coffres V2 ou V3. « Tous les actifs récupérés avec succès seront restitués aux déposants affectés », a ajouté l’équipe.
Comme The Block l’a précédemment rapporté , l’attaquant a pu transférer au moins 1 000 ETH et plusieurs tokens de staking liquide vers l’anonymiseur Tornado Cash. Yearn, en collaboration avec les sociétés de sécurité crypto SEAL 911 et ChainSecurity, a travaillé avec le réseau Plume pour récupérer 857,49 pxETH à l’heure de la publication.
BlockScout a indiqué que le hacker avait déployé des « contrats d’assistance » auto-destructeurs dans le cadre de l’attaque. Ces inserts de code sont des contrats intelligents auxiliaires spécialisés utilisés pour effectuer des tâches automatisées, et souvent détournés lors d’attaques de flash loan nécessitant plusieurs étapes dans une seule transaction.
L’attaquant, par exemple, a utilisé un contrat d’assistance pour manipuler la fonction yETH vulnérable, minter une quantité absurde de tokens, et vider le protocole, avant de s’auto-détruire. « L’auto-destruction supprime le bytecode, rendant le contrat illisible par la suite, mais les transactions de création et les logs sont conservés », a déclaré BlockScout.
« Une première analyse a indiqué que ce hack présente un niveau de complexité similaire à celui du récent hack de Balancer, donc merci de patienter pendant que nous effectuons l’analyse post-mortem », a déclaré Yearn dimanche. « Aucun autre produit Yearn n’utilise un code similaire à celui qui a été impacté. »
Avertissement : le contenu de cet article reflète uniquement le point de vue de l'auteur et ne représente en aucun cas la plateforme. Cet article n'est pas destiné à servir de référence pour prendre des décisions d'investissement.
Vous pourriez également aimer
Les actions des sociétés de puces américaines chutent pour la huitième séance consécutive ! 2 000 milliards de dollars de capitalisation boursière évaporés, la plus longue série de baisses depuis 2008
Cette semaine, les perspectives de rendement des investissements en IA ont été remises en question par le marché : l'indice des semi-conducteurs de Philadelphie a enregistré une baisse cumulée de 11,4 %, et le Nasdaq a chuté de plus de 4 % sur la semaine. Le cours de CoreWeave a reculé de plus de 25 % sur la semaine, les obligations sont tombées à un niveau de détresse, et le modèle de financement par dette à haut rendement est remis en cause. Les stratèges avertissent qu’un pessimisme excessif pourrait entraîner le risque de rater une reprise, tandis que "Madame Wood" a renforcé sa position sur CoreWeave, allant à contre-courant du marché.
En août, les capitaux étrangers sont revenus sur le marché des obligations américaines ; la détention britannique a dépassé pour la première fois le seuil de 1 000 milliards, tandis que la Chine et le Japon ont continué à réduire leurs positions, la détention chinoise atteignant son niveau le plus bas depuis 2008.
Selon un rapport du département du Trésor américain, les investisseurs étrangers ont acheté en net 108,9 milliards de dollars de bons du Trésor américain en août, inversant ainsi une baisse de deux mois de la détention totale. Parmi les dix principaux pays et régions détenteurs, seules la Chine et le Japon ont réduit leur exposition en août. Le Japon, premier « créancier » des États-Unis, a vu ses avoirs tomber à leur plus bas niveau depuis 22 mois, enregistrant une quatrième baisse consécutive au cours du mois où il est intervenu sur le marché des changes. La Chine, quant à elle, a connu une troisième diminution consécutive de ses avoirs, atteignant un nouveau plus bas depuis 2008 lors des deux derniers mois. Le Royaume-Uni, deuxième « créancier », a atteint un nouveau record historique de détention pour le deuxième mois consécutif. Le Canada a été le principal pays à augmenter ses avoirs en août, avec une hausse de 38,3 milliards de dollars, devenant le cinquième détenteur mondial. La Belgique a enregistré la deuxième plus grande augmentation, ajoutant 19,8 milliards de dollars.
Selon un reportage : SoftBank Group du Japon envisage d’acquérir Allied, la plus grande société de sécurité des États-Unis.
Le groupe SoftBank est en discussions préliminaires pour acquérir Allied Universal, la plus grande entreprise de sécurité aux États-Unis, avec une valorisation potentielle des capitaux propres atteignant 18 milliards de dollars. Avec environ 12 milliards de dollars de dettes, la valeur totale de la transaction pourrait approcher les 30 milliards de dollars. Masayoshi Son considère le secteur de la sécurité comme un terrain d’essai clé pour la technologie robotique, en cohérence avec sa stratégie autour de l’IA et de la robotique. Après l’annonce, l’ADR de SoftBank a chuté de près de 10 % en une seule journée.
Le déficit budgétaire des États-Unis pour l'exercice 2026 s'élève à 1 990 milliards de dollars, en hausse de 12 %, avec des paiements d'intérêts atteignant un niveau record.
Les dépenses des États-Unis pour l'exercice 2026 augmentent de 6 % pour atteindre 7,4 mille milliards de dollars, tandis que les revenus augmentent de 3 % pour atteindre 5,4 mille milliards de dollars, élargissant continuellement le déficit. Les dépenses nettes en intérêts augmentent de 81,4 milliards de dollars pour atteindre 1,05 mille milliards de dollars, établissant un nouveau record historique. La loi de réduction d'impôts promulguée par Trump a entraîné une baisse de plus de 70 milliards de dollars des recettes de l'impôt sur les sociétés. Besant cite le remboursement des droits de douane comme l'un des facteurs clés de l'élargissement du déficit. Le FMI, la Banque centrale européenne et le CBO remettent en cause ensemble la logique du "croissance pour résoudre le déficit".
Prix des cryptos
Plus
