Post #4780

Надюпал алмазы Хакер нарисовал 235 септендециллионов yETH из воздуха и сумел вывести $9 миллионов из них с пулов Yearn Finance. Это число с 54 нулями. Атака оказалась двухэтапной, и её изящество пугает. Сначала злоумышленник довёл supply пула до нуля через комбинацию вызовов update_rates() и remove_liquidity(). Когда баланс обнулился, сработал underflow. Атакующий внес суммарно 16 wei по восьми LST-токенам. За эту пыль контракт выдал ему 57-значное число в yETH. Злоумышленник обменял 100 квинтиллионов yETH на 1079 ETH и повторял процедуру, пока не опустошил StableSwap пул на $8 миллионов и yETH-WETH на Curve ещё на $900 тысяч. Около 1000 ETH уже прогнали через Tornado Cash, остальные $6 миллионов в LST-деривативах лежат на его кошельке. Yearn подчёркивает, что V2 и V3 Vaults не пострадали. Команда сравнивает сложность атаки с недавним взломом Balancer, о котором мы писали. Расследование ведётся совместно с SEAL 911 и ChainSecurity. НеКасперский