报道：

Yearn Finance的 yETH 合约中存在无限增发漏洞，导致周日数百万美元的流动性流失，迫使该协议隔离受影响的旧有资金池。攻击者利用该漏洞增发了 235 万亿枚合成代币，并立即将这些毫无价值的代币兑换成真实资产，然后将资金路由至混币器 Tornado Cash。

“无限薄荷糖”机制

此次安全漏洞源于 yETH 合约，该合约是一个流动性质押指数，旨在捆绑 stETH 和 rETH 等资产。攻击者发现了一个潜在的逻辑缺陷，该缺陷允许在无需抵押的情况下铸造 yETH。

首要且最直接的目标曾是一个支持 yETH 的 Balancer 流动性池。一旦大量代币涌入该池，攻击者便可大规模地移除真实的 ETH 和流动性质押衍生品，从一个此前持有近 1100 万美元的池子中窃取价值。初步数据显示，价值约 300 万美元的 ETH 几乎瞬间被盗。

有关的：朝鲜拉撒路组织涉嫌参与价值3700万美元的Upbit黑客攻击，时间点与Naver 100亿美元的交易相冲突。

yETH 的角色和弱点的根源

yETH 产品作为一个流动性质押指数，旨在将热门的 ETH 质押代币（例如 stETH 和 rETH）整合为一个统一的资产。然而，最近发生的事件表明，较早的智能合约逻辑仍然可能存在潜在的安全漏洞。

追踪此次漏洞的分析师指出，该问题源于 yETH 早期版本中存在的铸币缺陷。利用此漏洞，攻击者无需任何抵押即可创建大量 yETH。

一旦资金池失去支持，攻击者便开始将窃取的以太坊拆分成更小的部分。大约 1000 个以太坊（约合 300 万美元）分批转移到了 Tornado Cash 平台。

加密货币混合器会模糊交易路径，使链上调查人员难以追踪交易轨迹。区块链记录证实，这一过程在漏洞利用后立即开始，并以稳定的间隔持续进行。

攻击期间窃取的其他资产仍留在与攻击者相关的钱包中，初步评估显示，价值数百万美元的资产尚未转移。

Yearn Finance做出回应并评估损失

Yearn Finance 宣布该漏洞完全存在于 yETH 资金池中，并未触及 V2 或 V3 金库。这些金库控制着更大的资金量，因此避免了事件演变成更严重的后果。协议声明，其核心金库仍然受到全面保护，不受此漏洞影响。

该团队已在外部安全机构的支持下，展开更深入的技术审查，以全面了解此次攻击的影响范围。初步评估显示，若将所有受影响的资金池都计算在内，损失可能高达约 900 万美元，但目前已确认的损失金额接近 300 万美元。

有关的：Upbit证实遭黑客攻击，损失3700万美元：交易所表示将全额赔偿损失。