Yearn Finance: Una vulnerabilità nel contratto yETH consente a un hacker di sottrarre milioni
Tornano sempre, più inventivi, più tecnici. Gli hacker hanno appena colpito ancora una volta nella sfera crypto. Questa volta, la vittima è Yearn Finance. Risultato: 9 milioni di dollari svaniti. Dietro l’exploit, un bug di rara complessità nel contratto yETH. In superficie, uno swap semplice. In profondità, caos matematico. E, cosa peggiore, non si tratta di un caso isolato.
In breve
- Yearn Finance perde 9 milioni a causa di una falla in un contratto swap personalizzato.
- Il bug tecnico: una divisione omessa nel calcolo del prodotto del saldo virtuale.
- L’attaccante utilizza contratti temporanei per drenare asset e offuscare le tracce.
- È sufficiente una sola transazione per incassare il 100% della liquidità del pool yETH colpito.
Quando l’aritmetica esplode: un bug da milioni
Il 30 novembre, un utente è riuscito a creare 2,35 × 10³⁸ yETH grazie a una sottile falla nella funzione swap() dello smart contract. Questo contratto avrebbe dovuto mantenere una regola di equilibrio tra i token. Tranne che una divisione critica è stata omessa nella formula. Risultato: la variabile vb_prod è impazzita. Come un tachimetro bloccato in overdrive, ha ingannato il protocollo sul proprio stato di salute.
L’exploit è stato confermato da PeckShield, che ha avvertito in un tweet che quasi 9 milioni di dollari erano andati persi. Parte dei fondi — circa 3 milioni in ETH — è stata inviata tramite Tornado Cash, un famoso mixer crypto utilizzato per oscurare le tracce. Il resto giace ancora sull’indirizzo dell’hacker.
La gravità del bug non è una semplice svista. Come ha spiegato Ilia.eth su X:
L’exploit di oggi del pool $yETH non è stato un attacco di tipo flash loan sui prezzi, ma piuttosto un collasso strutturale della contabilità interna dell’AMM. Ecco un’analisi tecnica che mostra come una semplice divisione omessa abbia portato al drenaggio completo del protocollo.
Questa falla ricorda dolorosamente il precedente di Balancer, dove una cattiva gestione degli arrotondamenti ha causato un caos simile. Stessa causa, stesso effetto: creazione monetaria incontrollata seguita da un prelievo legittimo ma distruttivo.
Contratti helper per radere al suolo l’architettura di Yearn Finance
Non è solo il bug a impressionare. È l’ingegneria dell’attacco. In una sola transazione, l’hacker ha orchestrato tutto: deploy dei “contratti helper”, minting dei token, conversione in ETH, trasferimento dei fondi e autodistruzione dei contratti per cancellare le tracce.
Secondo Blockscout, ogni contratto helper ha eseguito una chiamata mirata alla funzione vulnerabile, poi ha inviato l’ETH a un wallet principale prima di sparire. Una strategia degna di un film di rapine, dove il ladro cancella le sue impronte digitali nello stesso secondo in cui agisce.
L’indirizzo chiave identificato da diversi analisti è: 0xa80d…c822, che attualmente detiene ancora circa 6 milioni in stETH, rETH e altri derivati Ethereum.
Su X, William Li offre ulteriori approfondimenti:
L’hacker in realtà non ha prelevato tutti gli yETH che ha creato, ne ha venduto solo una parte nel pool yETH-ETH per 1.000 ETH (circa 3 milioni di dollari) — che è molto meno del reale guadagno ottenuto (P2).
Più che un furto, si tratta quindi di una disintegrazione controllata del protocollo yETH. E dietro l’attacco, una profonda conoscenza matematica, unita a un talento di programmazione freddo e preciso.
Crypto e fiducia: quando il codice diventa il tallone d’Achille
Yearn Finance è tutt’altro che un progetto amatoriale. Eppure, la falla non è stata rilevata né dagli utenti né dagli audit. È qui che la questione diventa preoccupante per l’intero mercato crypto. Perché questo tipo di errore — una moltiplicazione al posto di una divisione — potrebbe esistere altrove, in agguato in altri protocolli.
La struttura del contratto yETH è un ibrido tra Curve e Balancer. Solo che invece di ricalcolare ogni transazione, memorizza uno stato intermedio (vb_prod) che dovrebbe essere aggiornato dopo ogni swap. Una pratica pericolosa, secondo Ilia.eth:
Memorizzare i risultati di prodotti complessi (vb_prod) per aggiornarli in modo incrementale è estremamente rischioso. Gli errori si accumulano e il minimo bug logico può restare attivo indefinitamente. Sarebbe meglio ricalcolare gli invarianti dai saldi correnti.
L’hack riaccende il dibattito: bisogna dare priorità al risparmio di gas o al rigore? Una cosa è certa: le conseguenze di un compromesso mal gestito ora ammontano a milioni. In Yearn, è tempo di rimobilitazione: SEAL911, ChainSecurity e un’indagine post-mortem sono già in prima linea.
5 fatti chiave sull’exploit di Yearn Finance
- 30 novembre 2025: data dell’hack;
- 9 milioni di dollari: perdite totali stimate;
- 2,35 × 10³⁸ yETH: token creati artificialmente;
- Transazione singola: l’intero attacco è avvenuto in un solo blocco;
- Contratti helper: deployati, utilizzati, poi autodistrutti.
Gli errori di calcolo nelle crypto non perdonano. E per una buona ragione: non sarebbe stato un altro audit a evitare la carneficina. Balancer, nonostante 11 audit di sicurezza, è stato anch’esso svuotato da un bug quasi gemello. Un semplice fattore di moltiplicazione può diventare un’arma di distruzione di massa quando la finanza diventa programmabile. I protocolli hanno memoria corta, ma le blockchain non dimenticano mai.
Esclusione di responsabilità: il contenuto di questo articolo riflette esclusivamente l’opinione dell’autore e non rappresenta in alcun modo la piattaforma. Questo articolo non deve essere utilizzato come riferimento per prendere decisioni di investimento.
Ti potrebbe interessare anche
Deutsche Bank: acquisti d'oro da parte delle banche centrali + afflussi negli ETF, l'oro è in una fase di crescita "esplosiva"
Deutsche Bank ritiene che l’oro sia ancora nella quinta fase di crescita “esplosiva” iniziata nel 2024. La domanda delle banche centrali per l’acquisto di oro, calcolata in dollari reali, ha raggiunto un nuovo massimo storico, e circa metà di questa domanda non è stata dichiarata all’IMF. I flussi globali verso gli ETF sull’oro sono tornati positivi, con un particolare incremento degli acquisti dall’Asia. La banca ha fissato un obiettivo per l’oro alla fine dell’anno tra 4700 e 5100 dollari per oncia, con il principale fattore trainante rappresentato dalla continua espansione del debito governativo degli Stati Uniti; inoltre, le posizioni nei futures rimangono basse, il che indica che il potenziale di crescita dell’oro non è ancora stato completamente valutato.
Nvidia (NVDA.US) pianifica un investimento di 3 miliardi di dollari in SB Energy: dalla vendita di chip al controllo della catena "energia-parco tecnologico-potenza di calcolo" di OpenAI
Gli analisti sottolineano che Nvidia potrebbe anticipare un momento cruciale che determina se gli ordini di GPU potranno essere soddisfatti, investendo nei fornitori di servizi di sviluppo dei data center di OpenAI.
Cinque fattori si sovrappongono e si intensificano, JPMorgan: una crisi alimentare globale potrebbe scoppiare il prossimo anno
JPMorgan ha avvertito che, a causa della combinazione di guerra, condizioni meteorologiche, stoccaggio, risorse idriche e sprechi, una crisi alimentare globale potrebbe scoppiare nella prima metà del 2027. Si prevede che il tasso di inflazione alimentare globale aumenterà dal 2,8% nella prima metà del 2026 al 5% nella prima metà del 2027. La sovrapposizione di un super El Niño e di uno shock energetico farà aumentare ulteriormente l’indice dei prezzi al consumo (CPI) degli alimenti di circa 1,5 punti percentuali, colpendo in primo luogo i mercati emergenti come India, Indonesia e Brasile.
Prezzi delle criptovalute
Altro
