Yearn Finance 在周日晚间证实了一个影响其 yETH 产品的主动漏洞。该事件发生在一名攻击者成功铸造了无限量的 yETH 之后，从而耗尽了 Balancer 数据池中的流动性。
该事件引发了激烈的链上交易，包括通过龙卷风现金进行的多笔 100 ETH 交易。
"无限造币 "攻击和流动性流失
根据区块链数据，该漏洞发生在 11 月 30 日 21:11 UTC 前后，当时一个恶意钱包执行了名为 "无限造币 "的攻击。
Nansen 的警报系统随后确认了这一攻击，并将事件认定为 yETH 代币合约中的 "infinite-mint "漏洞，而不是 Yearn 的 Vault 基础设施中的漏洞。通过利用新发行的 yETH 池，攻击者能够从 Balancer 的流动性池中抽走真实资产（主要是 ETH 和 Liquid Staking Tokens (LST)）。早期估计表明，被抽走的资产总价值约为 280 万美元。
考虑到与 Tornado 的大量互动，与 Balancer 有关的其他一些举动似乎也是一种利用。Togbe 在 X 上表示，Yearn、Rocket Pool、Origin、Dinero 和其他 LST 都参与其中。
未命中系统和攻击后回收
大约 1.000 个以太坊通过 Tornado Cash 被转移和 "回收"。攻击者进行了精心策划，使用了多个 助手合约，这些合约在事件发生前几分钟就已部署，并在事件发生后不久自毁，以掩盖交易路径。
Yearn 希望向社区保证，其 V2 和 V3 Vault 不受攻击影响。如前所述，该漏洞似乎仅限于较旧的 yETH 实现。
YFI 代币的奇怪 "空头挤压"
市场反应出现了意想不到的异常。在社交媒体上报道了这一漏洞后，Yearn 的治理代币 YFI 的价格立即大幅上涨，在不到一个小时的时间内从 4080 美元左右飙升至 4160 美元以上。
这种反常的飙升似乎是由于在事件发生的第一时间对市场的误读造成的。最初，关于 "Yearn's exploit "的一般性报道促使交易商在 YFI 上建立了高杠杆空头头寸。由于这次攻击只发生在 YETH，没有影响到主要的 Vault，卖空者迅速开始对冲他们的头寸。
这次被迫关闭引发了空头挤压和随后由波动引起的价格飙升。YFI 的流通供应量仅为 33,984 枚代币，是 DeFi 流动性最低的治理资产之一，这种结构极大地放大了价格波动。
目前，损失似乎仅限于受漏洞影响的 yETH 和 Balancer 池。调查仍在进行中，目前尚不清楚是否存在追回被盗资产的方案。市场正在等待 Yearn 正式披露详细的根本原因、补丁工作和潜在的治理措施。
