Yearn memulihkan aset curian senilai $2,4 juta akibat bug 'aritmatika tidak terkontrol'
Protocol OG DeFi, Yearn Finance, kehilangan sekitar $9 juta akibat eksploitasi pada hari Minggu, setelah seorang penyerang berhasil mencetak hampir jumlah tak terbatas token yETH dan menguras pool stableswap Ether milik Yearn. Tim menyatakan bahwa misi pemulihan sedang berlangsung dan protokol V2 serta V3 mereka tidak berisiko.
Tim Yearn Finance telah berhasil memulihkan sekitar $2,4 juta aset yang dicuri dari eksploitasi terbaru pada protokol DeFi lama tersebut, sementara total kerugian yang diperkirakan mendekati $9 juta, menurut pembaruan pada hari Senin. Misi pemulihan yang terkoordinasi saat ini “aktif dan sedang berlangsung,” menurut sebuah postingan di X.
Pada hari Minggu, sebuah kerentanan pada protokol yield-farming yang pernah populer dieksploitasi untuk menguras aset dari pool stableswap Yearn Ether (yETH) dan pool yETH‑WETH yang lebih kecil di Curve. Serangan ini, yang merupakan serangan ketiga yang menargetkan Yearn sejak 2021, memiliki “kompleksitas tinggi yang serupa” dengan peretasan Balancer baru-baru ini, menurut Yearn.
Menurut laporan post-mortem yang dipublikasikan pada hari Senin, “penyebab utama” berasal dari bug “aritmatika yang tidak diperiksa” dan masalah desain lain yang berkontribusi, yang memungkinkan penyerang mencetak 2,3544x10^56 token yETH — jumlah yang hampir tak terbatas — yang digunakan untuk menguras likuiditas dari protokol.
“Transaksi eksploitasi sebenarnya mengikuti pola ini: pencetakan besar-besaran diikuti oleh serangkaian penarikan yang memindahkan aset nyata ke penyerang, sementara suplai token yETH pada dasarnya tidak berarti,” menurut laporan post-mortem tersebut.
Yearn mencatat bahwa serangan ini bersifat terarah dan seharusnya tidak berdampak pada vault V2 atau V3 mereka. “Setiap aset yang berhasil dipulihkan akan dikembalikan kepada deposan yang terdampak,” tambah tim tersebut.
Seperti yang sebelumnya dilaporkan oleh The Block , penyerang berhasil memindahkan setidaknya 1.000 ETH dan beberapa token liquid staking ke Tornado Cash anonymizer. Yearn, bersama dengan perusahaan keamanan kripto SEAL 911 dan ChainSecurity, bekerja sama dengan jaringan Plume untuk memulihkan 857,49 pxETH hingga saat berita ini ditulis.
BlockScout mengatakan bahwa peretas menggunakan “helper contracts” yang dapat menghancurkan diri sendiri sebagai bagian dari serangan. Kode ini adalah smart contract tambahan khusus yang digunakan untuk melakukan tugas otomatis, dan sering disalahgunakan selama serangan flash loan yang memerlukan beberapa langkah dalam satu transaksi.
Penyerang, misalnya, menggunakan helper contract untuk memanipulasi fungsi yETH yang rentan, mencetak jumlah token yang sangat besar, dan menguras protokol, sebelum akhirnya menghancurkan dirinya sendiri. “Self-destruct menghapus bytecode, membuat kontrak tidak dapat dibaca setelahnya, tetapi transaksi pembuatan dan log tetap tersimpan,” kata Blockscout.
"Analisis awal menunjukkan bahwa peretasan ini memiliki tingkat kompleksitas tinggi yang serupa dengan peretasan Balancer baru-baru ini, jadi mohon bersabar saat kami melakukan analisis post-mortem," kata Yearn pada hari Minggu. "Tidak ada produk Yearn lain yang menggunakan kode serupa dengan yang terdampak."
Disclaimer: Konten pada artikel ini hanya merefleksikan opini penulis dan tidak mewakili platform ini dengan kapasitas apa pun. Artikel ini tidak dimaksudkan sebagai referensi untuk membuat keputusan investasi.
Kamu mungkin juga menyukai
Apakah kemampuan rekayasa tingkat “roket” dapat memberikan keunggulan? Elon Musk mengatakan: SpaceX (SPCX.US) memiliki keunggulan dalam bidang AI yang tidak dapat dicapai oleh perusahaan seperti Google.
CEO SpaceX, Musk, percaya bahwa berkat keunggulan kompetitif yang unik, perusahaannya dapat mengalokasikan modal dengan lebih efektif dibandingkan raksasa cloud.
Bull market AI memasuki "era realisasi"! Morgan Stanley dan JPMorgan sama-sama memprediksi S&P 8000, serangan balik besar-besaran pada sektor semikonduktor dan pasar saham Korea membuktikan "gelombang utama pertumbuhan laba"
Dua raksasa keuangan Wall Street—Morgan Stanley dan JPMorgan—baru-baru ini secara bersamaan merilis laporan riset yang menyatakan bahwa pendorong utama kenaikan lanjutan S&P 500 kini beralih dari perluasan valuasi menjadi revisi kenaikan laba serta realisasi komersialisasi AI.
Wall Street bersikap hati-hati secara kolektif! Ringkasan terbaru laporan kepemilikan 13F: Penyesuaian kepemilikan pada raksasa teknologi dan sektor AI mengalami perbedaan, pertarungan antara bullish dan bearish berada dalam kebuntuan.
Dokumen 13F triwulanan yang diungkapkan oleh Komisi Sekuritas dan Bursa Amerika Serikat (SEC) menunjukkan bahwa pada kuartal kedua tahun ini, investor institusional sedikit mengurangi kepemilikan mereka di sektor-sektor utama seperti semikonduktor, infrastruktur kecerdasan buatan (AI), serta saham teknologi besar, tanpa terlihat adanya tanda-tanda taruhan besar satu arah secara signifikan.
Harga kripto
Lainnya
